CVE-2026-86249
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W przypadku brpc::Server, który ustawia zarówno ServerOptions.auth, jak i ServerOptions.internal_port, wbudowane wyłączenie usługi HTTP na internal_port może zostać wykorzystane do całkowitego ominięcia uwierzytelniania. Funkcja VerifyHttpRequest() zwraca wartość true bez sprawdzania jakichkolwiek poświadczeń, gdy żądana jest usługa wbudowana na porcie internal_port, a ta werdykt nie dotyczy żądania: weryfikacja jest uruchamiana tylko dla pierwszego komunikatu połączenia, a wynik blokuje połączenie. Wysłanie żądania takiego jak GET /status do portu_wewnętrznego najpierw uwierzytelnia całe połączenie, po czym każde kolejne żądanie wysłane tym samym połączeniem jest obsługiwane bez wywoływania funkcji VerifyHttpRequest(). Dzięki temu osoba atakująca zdalnie może uzyskać dostęp do zwykłych (niewbudowanych, nie opartych na kartach) uwierzytelnionych usług bez podawania prawidłowych poświadczeń za każdym razem, gdy serwer korzysta z pliku ServerOptions.internal_port wraz z modułem uwierzytelniającym. Poprawka ogranicza port_wewnętrzny, tak aby przenosił tylko usługi wbudowane i z zakładkami; żądania zwykłych usług wysyłane do internal_port są odrzucane za pomocą EPREM/HTTP 403.
Łagodzenie / Poprawka: uaktualnij do wersji 1.18.0 lub zastosuj PR https://github.com/apache/brpc/pull/3525 .
Użytkownicy, którzy polegają na świadczeniu normalnych usług na internal_port, muszą przenieść te żądania na port przekazany do Server::Start().
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org