CVE-2026-74757
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Niekontrolowana alokacja zasobów w komponencie mcpack2pb w Apache bRPC (wersja < 1.18.0) na wszystkich platformach umożliwia zdalnym atakującym zmuszenie serwera do alokacji dużej ilości pamięci poprzez wysłanie spreparowanego żądania mcpack z ogromną liczbą elementów tablicy.
Główna przyczyna:
Parser bRPC mcpack2pb ufa liczbie elementów przechowywanych w nagłówku tablicy mcpack bez sprawdzania jej pod kątem rzeczywistego rozmiaru ładunku. Kod wygenerowany przez wtyczkę protokołu mcpack2pb wykorzystuje tę liczbę do wstępnej alokacji pamięci dla powtarzających się pól protobuf za pomocą funkcji Reserve(). Zniekształcone żądanie deklarujące item_count = 0x7ffffffff może zmusić serwer do wstępnego przydzielenia około 16 GB pamięci wirtualnej, co może przerwać proces (SIGABRT) na hostach z ograniczoną pamięcią.
Dotknięte scenariusze:
Użyj serwera bRPC, który łączy usługę NsheadService z UbrpcMcpack2Adaptor (wzorzec wdrożenia Baidu ubrpc) i analizuje żądania za pomocą kodu wygenerowanego przez wtyczkę protokołu mcpack2pb. Treść żądania jest analizowana przed uwierzytelnieniem.
Jak naprawić:
(Wybierz jedną z poniższych opcji)
1. Zaktualizuj bRPC do wersji 1.18.0, która rozwiązuje ten problem.
2. Zastosuj tę poprawkę: https://github.com/apache/brpc/pull/3451
Uwaga:
Bez względu na to, którą opcję wybierzesz, powinieneś wiedzieć, że poprawka ogranicza liczbę elementów tablicy do pozostałych bajtów ładunku tablicy.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org