CVE-2026-58064
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Implementacja protokołu Redis w Apache bRPC umożliwiła analizę poleceń wbudowanych w celu przydzielenia i skopiowania pełnego bufora połączenia, zanim udostępniono kompletne polecenie zakończone CRLF. Zdalna osoba atakująca mająca dostęp do usługi bRPC korzystającej z protokołu Redis może wysyłać długie wbudowane dane wejściowe bez kończącego CRLF, aby zwiększyć użycie pamięci i obciążenie procesora związane z kopiowaniem, co może spowodować odmowę usługi.
Główna przyczyna:
Parser poleceń wbudowanych Redis przydzielił pamięć na podstawie bieżącego rozmiaru bufora wejściowego i skopiował cały bufor przed określeniem bieżącej granicy polecenia wbudowanego. Istniejący limit redis_max_allocation_size został zastosowany do zbiorczych ciągów i tablic RESP, ale nie skutecznie do ścieżki poleceń wbudowanych przed alokacją.
Dotknięte scenariusze:
Użyj serwera Apache bRPC z włączonym protokołem Redis i dostępnym dla niezaufanych klientów.
Jak naprawić:
1. Zaktualizuj Apache bRPC do wersji 1.18.0, która rozwiązuje ten problem.
2. Zastosuj łatkę z PR https://github.com/apache/brpc/pull/3363 .
Uwaga:
Poprawka dotyczy redis_max_allocation_size do wbudowanych wierszy poleceń Redis i skanuje w poszukiwaniu CRLF przed przydzieleniem pamięci obszaru analizatora. Wbudowane wiersze poleceń przekraczające ten limit są odrzucane.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org