Odebrany

CVE-2026-86146

opublikowano: 21.10.2026, 15:20

modyfikacja: 21.10.2026, 15:20

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Niespójna interpretacja żądań HTTP (przemycanie żądań/odpowiedzi HTTP) w dołączonym parserze HTTP/1.1 Apache bRPC (wersja < 1.18.0) na wszystkich platformach umożliwia zdalnym atakującym przemycanie żądań i wstrzykiwanie nagłówków, gdy bRPC jest wdrażane za serwerem proxy lub modułem równoważenia obciążenia, który analizuje te same bajty w różny sposób.

Główna przyczyna:
Rozwidlenie bRPC parsera http akceptuje i działa na kilku formularzach nagłówka HTTP/1.1, które zgodny front-end albo odrzuca, albo interpretuje inaczej, więc ramka lub zestaw nagłówków wiadomości może różnić się między front-endem a bRPC:
1. Akceptowana jest spacja przed dwukropkiem nagłówków ramek (np. Content-Length : 5); wartość nadal steruje ramkowaniem bRPC, podczas gdy zgłaszana nazwa pola zawiera końcową spację.
2. Wewnętrzne spacje wewnątrz wartości Content-Length (np. Content-Length: 1 3) są pomijane, więc bRPC odczytuje 13, gdzie front-end odczytuje 1 lub odrzuca wiadomość (ta sama klasa co CVE-2022-32213 w Node.js).
3. Akceptowane jest przestarzałe zwijanie linii (obs-fold, RFC 7230 3.2.4) wartości Content-Length i Transfer-Encoding, więc złożona wartość ramki steruje ramkowaniem bRPC, podczas gdy front-end, który się nie rozwija, widzi inny komunikat.
4. Podzielone pola zwiastuna są podawane do tych samych wywołań zwrotnych nagłówka co sekcja nagłówka i są scalane z mapą nagłówka jak prawdziwe nagłówki. Frontend sprawdza tylko sekcję nagłówka, więc każde podzielone na części żądanie może przemycić obok niego pola takie jak Authorization lub X-Forwarded-For.
5. Listy Transfer-Encoding z opcjonalnymi białymi znakami po przecinku (np. Transfer-Encoding: gzip, chunked) nie są rozpoznawane jako podzielone na fragmenty: takie żądania są odrzucane, a odpowiedzi są odczytywane do momentu zamknięcia połączenia, a nie jako fragmenty, co powoduje desynchronizację odpowiedzi.

Dotknięte scenariusze:
Serwer lub klient bRPC komunikujący się za pośrednictwem protokołu HTTP/1.1 z przednim serwerem proxy, modułem równoważenia obciążenia lub dowolnym elementem równorzędnym, który niezależnie analizuje wiadomość. Osoba atakująca, która może wysyłać żądania przez interfejs użytkownika, może zdesynchronizować dwa analizatory składni w celu przemycenia żądań, sfałszowania nagłówków (np. Autoryzacji, X-Forwarded-For) poprzez podzielone na części zwiastuny lub desynchronizacji odpowiedzi.

Jak naprawić:
(Wybierz jedną z poniższych opcji)
1. Zaktualizuj bRPC do wersji 1.18.0, która rozwiązuje ten problem.
2. Zastosuj tę poprawkę: https://github.com/apache/brpc/pull/3521

Uwaga:
Po zastosowaniu poprawki cztery powyższe formularze nagłówków są domyślnie odrzucane, a podzielone na części zwiastuny są usuwane zamiast łączyć się z mapą nagłówka. Dla zapewnienia kompatybilności dostępne są dwie flagi gflag: http_allow_obs_fold=true przywraca akceptację złożonych wartości Content-Length/Transfer-Encoding, a http_strict_header_token=true dodatkowo odrzuca spacje wewnątrz nazw pól nagłówka (nie tylko tych, które decydują o ramce). Nie ma to wpływu na legalnych klientów, którzy nie korzystają z tych przestarzałych formularzy.

Inconsistent interpretation of HTTP requests (HTTP request/response smuggling) in the bundled HTTP/1.1 parser of Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to smuggle requests and inject headers when bRPC is deployed behind a proxy or load balancer that parses the same bytes differently.

Root Cause:
The bRPC fork of http-parser accepts and acts on several HTTP/1.1 header forms that a conforming front-end either rejects or interprets differently, so the framing or the header set of a message can differ between the front-end and bRPC:
1. A space before the colon of framing headers (e.g. Content-Length : 5) is accepted; the value still drives bRPC's framing while the reported field name contains the trailing space.
2. Interior spaces inside a Content-Length value (e.g. Content-Length: 1 3) are skipped, so bRPC reads 13 where a front-end reads 1 or rejects the message (same class as CVE-2022-32213 in Node.js).
3. Obsolete line folding (obs-fold, RFC 7230 3.2.4) of Content-Length and Transfer-Encoding values is accepted, so a folded framing value drives bRPC's framing while a front-end that does not unfold sees a different message.
4. Chunked trailer fields are fed to the same header callbacks as the header section and are merged into the header map like real headers. A front-end only inspects the header section, so any chunked request can smuggle fields such as Authorization or X-Forwarded-For past it.
5. Transfer-Encoding lists with optional whitespace after a comma (e.g. Transfer-Encoding: gzip, chunked) are not recognized as chunked: such requests are rejected, and responses are read until connection close instead of as chunked, causing response desync.

Affected Scenarios:
bRPC server or client communicating over HTTP/1.1 with a front proxy, load balancer, or any peer that parses the message independently. An attacker able to send requests through the front-end can desynchronize the two parsers to smuggle requests, forge headers (e.g. Authorization, X-Forwarded-For) via chunked trailers, or desynchronize responses.

How to Fix:
(Choose one of the following options)
1. Upgrade bRPC to version 1.18.0, which fixes this issue.
2. Apply this patch: https://github.com/apache/brpc/pull/3521

Note:
After applying the fix, the four header forms above are rejected by default and chunked trailers are dropped instead of merged into the header map. Two gflags are provided for compatibility: http_allow_obs_fold=true restores acceptance of folded Content-Length/Transfer-Encoding values, and http_strict_header_token=true additionally rejects spaces inside any header field name (not only the ones that decide framing). Legitimate clients that do not use these obsolete forms are unaffected.

>_ Słabości (CWE)

CWE-444

>_ Referencje

https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve