CVE-2026-78066
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wyczerpanie zasobów w Apache bRPC (wersja < 1.18.0) na wszystkich platformach: wiele parserów akceptujących dane wejściowe sterowane przewodowo, bez ograniczeń dotyczących rozmiarów zadeklarowanych przez klienta lub zdekompresowanych danych wyjściowych, których atakujący mogą użyć do nieproporcjonalnego użycia pamięci i zawieszenia procesu.
Główna przyczyna:
1) Dekompresory gzip/zlib/snappy nie wymuszają żadnego limitu wyjściowego: -max_body_size jest sprawdzane tylko pod kątem skompresowanych bajtów, więc treść zgodna z limitem (np. 64 MiB) może zostać zdekompresowana do dziesiątek GiB.
2) Czytniki ciągów AMF przydzielają zadeklarowaną długość, zanim bajty staną się faktycznie dostępne.
3) Nagłówki fragmentów RTMP mogą ponownie deklarować długość komunikatu w połowie strumienia; deklarowana długość nigdy nie była ograniczona, a bufor częściowego ponownego montażu stale rósł.
4) Parser sofa-pbrpc nie ogranicza meta_size.
5) mcpack2pb ufa zadeklarowanym przewodowo licznikom elementów dla Reserve(), a ciąg znaków value_size równy 0 przekracza rozmiar bufora, przerywając proces.
Dotknięte scenariusze:
Dowolna usługa bRPC akceptująca treści skompresowane gzip/zlib/snappy lub wiadomości rtmp, sofa-pbrpc lub mcpack2pb od niezaufanych klientów.
Jak naprawić: (wybierz jedną z następujących opcji) 1. Zaktualizuj bRPC do wersji 1.18.0, która rozwiązuje ten problem.
2. Zastosuj tę poprawkę: https://github.com/apache/brpc/pull/3476
Uwaga:
Po naprawieniu żądania, których rozmiar po zdekompresowaniu, długość wiadomości RTMP lub zadeklarowana liczba mcpack przekraczają nowe limity, są odrzucane. Operatorzy, którzy legalnie potrzebują większych wartości, mogą podnieść odpowiednią flagę (-max_decompressed_body_size, max_body_size).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org