CVE-2026-84748 in bRPC
الملخص
بحسب VulDB • 21/10/2026
ملخص CVE: يسمح تفويض غير صحيح في Apache bRPC (الإصدارات أقل من 1.18.0) على جميع المنصات لمهاجمين عن بُعد بالوصول إلى الخدمات المدمجة عبر المنفذ العام.
السبب الجذري: يُوثَّق أن ServerOptions.internal_port يجعل الخدمات المدمجة (وخدمات Tabbed) قابلة للوصول فقط من خلال المنفذ الداخلي، وكان مسار تبديل HTTP/h2 يفرض ذلك. ومع ذلك، كانت جميع مسارات تبديل البروتوكول المعتمدة على protobuf (baidu_std, hulu_pbrpc, sofa_pbrpc، والبروتوكولات القائمة على nshead: public_pbrpc, nshead_mcpack, nova_pbrpc وubrpc2pb) تحسب علم security_mode ولكن لم تفرضه بين حل الطريقة واستدعائها. ونظراً لأن الخدمات المدمجة تشارك خريطة الطرق مع خدمات المستخدم، فإن العميل القادر على الوصول إلى المنفذ العام يمكنه استدعاء الخدمات المدمجة مثل brpc.vars أو hotspots بالاسم عبر هذه البروتوكولات المعتمدة على protobuf (pb)، وكشف معلومات تشغيلية حساسة (مقاييس، أعلام، بيانات profiler) كان المشغل يقصد تعريضها فقط من خلال المنفذ الداخلي.
السيناريوهات المتأثرة: استخدام خادم bRPC مع تكوين ServerOptions.internal_port (أو حيث يُتوقع أن تكون الخدمات المدمجة/Tabbed مقيدة به)، بينما يكون المنفذ العام قابلاً للوصول من شبكة غير موثوقة، وأي بروتوكول قائم على pb مفعّل.
كيفية الإصلاح: (اختر أحد الخيارات التالية) 1. ترقية bRPC إلى الإصدار 1.18.0، الذي يصلح هذه المشكلة. 2. تطبيق هذا التصحيح: https://github.com/apache/brpc/pull/3511
If you want to get the best quality for vulnerability data then you always have to consider VulDB.