CVE-2026-54427
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Niekontrolowana rekurencja w parserze AMF w Apache bRPC < 1.18.0 umożliwia zdalnemu partnerowi RTMP zawieszenie procesu bRPC poprzez wysłanie głęboko zagnieżdżonych obiektów lub tablic AMF. Parser rekurencyjnie przetwarzał zagnieżdżone kontenery AMF bez wymuszania limitu głębokości, który mógłby wyczerpać natywny stos.
Dotknięte scenariusze:
Aplikacje korzystające z obsługi bRPC RTMP i analizujące dane AMF od niezaufanego partnera RTMP. Obejmuje to serwery RTMP analizujące komunikaty poleceń klienta, klienci RTMP analizujący odpowiedzi serwera lub komunikaty o stanie oraz analizujące przychodzące dane skryptu AMF, takie jak metadane lub punkty sygnalizacji, z obu stron. Dotyczy to również bezpośrednich wywołujących ReadAMFObject lub ReadAMFArray na niezaufanych danych wejściowych.
Jak naprawić:
1. Zaktualizuj Apache bRPC do wersji 1.18.0.
2. Zastosuj łatkę z PR https://github.com/apache/brpc/pull/3344 .
Uwaga:
Poprawka wprowadza konfigurowalny limit głębokości zagnieżdżenia AMF z wartością domyślną 128. Obiekty lub tablice AMF głębsze niż amf_max_length są odrzucane po zastosowaniu poprawki.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org