Odebrany

CVE-2026-78058

opublikowano: 21.10.2026, 14:17

modyfikacja: 21.10.2026, 14:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Niekontrolowane zużycie zasobów w ścieżce odbiorczej HTTP/2 (h2) Apache bRPC (wersja < 1.18.0) na wszystkich platformach umożliwia zdalnemu nieuwierzytelnionemu atakującemu awarię serwera lub zwiększenie jego pamięci bez ograniczeń poprzez wysyłanie spreparowanych ramek HTTP/2.

Główna przyczyna:
Parser h2, domyślnie włączony na każdym porcie serwera bRPC i używany przez klientów h2/gRPC, ufa partnerowi, że przestrzega limitów po stronie odbioru, które bRPC reklamuje, ale nigdy nie wymusza:
1. SETTINGS_MAX_CONCURRENT_STREAMS domyślnie ustawione na nieograniczone i nigdy nie było sprawdzane na serwerze, pozwalając partnerowi na przypięcie nieograniczonej liczby oczekujących strumieni na połączenie (~100-krotne wzmocnienie pamięci).
2. SETTINGS_MAX_HEADER_LIST_SIZE domyślnie ustawione na nieograniczone i nigdy nie było egzekwowane; 1-bajtowe indeksowane odniesienia HPACK wzmacniają małą ramkę HEADERS ~ 4000x w nieograniczoną zdekodowaną listę nagłówków („bomba HPACK”), a nigdy nieukończony blok HEADERS/CONTINUATION gromadzi pamięć bez ograniczeń.
3. Potwierdzenia ramek kontrolnych (potwierdzenia PING/SETTINGS, RST_STREAM, GOAWAY, WINDOW_UPDATE) bezwarunkowo ominęły limit zapisu -socket_max_unwriting_bytes, więc zalew PING w połączeniu z wstrzymanymi odczytami TCP zwiększył bufor połączenia bez udokumentowanego ograniczenia.
4. Aktualizacja rozmiaru tabeli dynamicznej HPACK została sprawdzona względem domyślnego protokołu (4096) zamiast reklamowanego SETTINGS_HEADER_TABLE_SIZE, co w połączeniu z problemem kolejki/księgowania tabeli dynamicznej może spowodować desynchronizację dekodera i wyłuskanie wartości NULL (awaria).

Scenariusze, których to dotyczy:
Dowolny serwer bRPC obsługujący protokół HTTP/h2/gRPC do niezaufanej sieci i dowolny klient bRPC h2/gRPC łączący się z niezaufanym zapleczem. Analizator h2 jest uruchamiany przed jakimkolwiek sprawdzeniem uwierzytelnienia na porcie współdzielonym.

Jak naprawić:
Zaktualizuj bRPC lub zastosuj poprawkę w https://github.com/apache/brpc/pull/3474.

Uwaga:
Po zastosowaniu poprawki domyślnie obowiązują następujące limity:
- max_concurrent_streams: 1024 na połączenie (4294967295 przywraca nieograniczoną liczbę).
- max_header_list_size: 1 MiB zdekodowany rozmiar na strumień (4294967295 przywraca nieograniczoną; -h2_client_max_header_list_size dla klientów).
- ramka kontrolna h2 potwierdza respekt -socket_max_unwriting_bytes (-h2_ack_ignore_eovercrowded przywraca stare zachowanie).
Żądania przekraczające te limity są odrzucane (RST_STREAM(REFUSED_STREAM) lub błąd połączenia).

Uncontrolled resource consumption in the HTTP/2 (h2) receive path of Apache bRPC (version < 1.18.0) on all platforms allows a remote unauthenticated attacker to crash the server or grow its memory without bound by sending crafted HTTP/2 frames.

Root Cause:
The h2 parser, enabled by default on every bRPC server port and used by h2/gRPC clients, trusts the peer to respect receive-side limits that bRPC advertises but never enforces:
1. SETTINGS_MAX_CONCURRENT_STREAMS defaulted to unlimited and was never checked on the server, letting a peer pin an unbounded number of pending streams per connection (~100x memory amplification).
2. SETTINGS_MAX_HEADER_LIST_SIZE defaulted to unlimited and was never enforced; 1-byte HPACK indexed references amplify a small HEADERS frame ~4000x into an unbounded decoded header list ("HPACK bomb"), and a never-completed HEADERS/CONTINUATION block accumulates memory without limit.
3. Control-frame acks (PING/SETTINGS acks, RST_STREAM, GOAWAY, WINDOW_UPDATE) unconditionally bypassed the -socket_max_unwritten_bytes write cap, so a PING flood combined with withheld TCP reads grew the connection buffer without the documented bound.
4. The HPACK dynamic table size update was validated against the protocol default (4096) instead of the advertised SETTINGS_HEADER_TABLE_SIZE, which together with the dynamic-table queue/accounting issue can desynchronize the decoder and dereference NULL (crash).

Affected scenarios:
Any bRPC server serving HTTP/h2/gRPC to an untrusted network, and any bRPC h2/gRPC client connecting to an untrusted backend. The h2 parser runs before any Authenticator check on the shared port.

How to fix:
Upgrade bRPC, or apply the patch in https://github.com/apache/brpc/pull/3474.

Note:
After applying the fix the following limits are enforced by default:
- max_concurrent_streams: 1024 per connection (4294967295 restores unlimited).
- max_header_list_size: 1 MiB decoded size per stream (4294967295 restores unlimited; -h2_client_max_header_list_size for clients).
- h2 control-frame acks respect -socket_max_unwritten_bytes (-h2_ack_ignore_eovercrowded restores the old behavior).
Requests exceeding these limits are rejected (RST_STREAM(REFUSED_STREAM) or a connection error).

>_ Słabości (CWE)

CWE-400 CWE-476

>_ Referencje

https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve