CVE-2026-56387
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Parser RTMP AMF w Apache bRPC akceptuje długości ciągów AMF i liczby tablic bezpośrednio z niezaufanych danych wejściowych. Zdalny nieuwierzytelniony atakujący, który może połączyć się z serwerem bRPC z włączonym protokołem RTMP, może wysłać mały ładunek AMF z zadeklarowaną zbyt długą długością łańcucha lub zbyt dużą liczbą tablic, powodując nadmierną alokację pamięci lub zużycie zasobów, zanim parser odrzuci niekompletny ładunek.
Główna przyczyna:
Analizator długich ciągów AMF zmienił rozmiar ciągu docelowego na zadeklarowaną długość 32-bitową przed sprawdzeniem, czy strumień zawiera taką liczbę bajtów. Parsery tablic ECMA i ścisłe tablice również akceptowały 32-bitową liczbę elementów bez konfigurowalnej górnej granicy.
Dotknięte scenariusze:
Wdrożenia włączające komponent serwera bRPC RTMP i akceptujące ruch RTMP od niezaufanych klientów. Ma to również wpływ na bezpośrednie użycie analizatora AMF na niezaufanych danych.
Jak naprawić:
1. Zaktualizuj bRPC do wersji 1.18.0, która rozwiązuje ten problem.
2. Zastosuj tę poprawkę: https://github.com/apache/brpc/pull/3353
Uwaga:
Poprawka wprowadza konfigurowalne limity analizowania AMF. Domyślny maksymalny rozmiar ciągu to 64 MiB, a domyślna maksymalna liczba elementów tablicy to 1 048 576. Ładunki przekraczające te limity są odrzucane. Limity można dostosować za pomocą amf_max_string_size i amf_max_array_size.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org