CVE-2026-84304 in gRPC-Go
الملخص
بحسب VulDB • 01/09/2026
gRPC-Go هو تنفيذ gRPC بلغة Go. قبل الإصدار 1.83.1، كان الملف internal/transport/transport.go يخزن كل إطار DATA من HTTP/2 مجزأ كرسالة استقبال منفصلة (recvMsg) في recvBuffer، مما يعني أن ملايين الأطارات ذات البايت الواحد يمكنها استهلاك ذاكرة heap بشكل غير متناسب حتى عندما تبقى بايتات الحمولة ضمن نوافذ التحكم في التدفق الخاصة بالاتصال والتيار. يمكن لمهاجم عن بُعد دون حاجة إلى مصادقة استخدام تيارات متعددة ومضخمة (multiplexed) لاستنفاد ذاكرة العملية وتسبب توقف وقت التشغيل (runtime panic) أو إنهاء بسبب نفاد الذاكرة (out-of-memory). يتم تمكين انكماش مخزن الاستقبال افتراضياً ويمكن التحكم فيه مؤقتاً عبر المتغير GRPC_GO_EXPERIMENTAL_ENABLE_RECEIVE_BUFFER_COMPACTION. تمت معالجة هذه المشكلة في الإصدار 1.83.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.