CVE-2026-54426 in bRPC
Zusammenfassung
von VulDB • 21.10.2026
Unkontrollierte Rekursion im Redis-Antwort-Parser in Apache bRPC < 1.18.0 ermöglicht es einem entfernten Redis-Server-Peer, den Prozess eines bRPC-Redis-Clients zum Absturz zu bringen, indem eine tief verschachtelte RESP-Array-Antwort zurückgegeben wird. Der Parser rekurrierte einmal für jede Ebene der Verschachtelung ohne Durchführungsbeschränkung einer Tiefengrenze. Die Korrektur fügt ein konfigurierbares Limit für die Redis-Antworttiefe mit einem Standardwert von 128 hinzu und lehnt Antworten ab, die dieses Limit überschreiten.
Betroffene Szenarien: Anwendungen, die bRPC als Redis-Client verwenden, wobei ChannelOptions.protocol="redis" ist und Antworten von einem nicht vertrauenswürdigen oder fehlerhaften Redis-Server-Peer empfangen werden.
So beheben Sie das Problem: 1. Aktualisieren Sie Apache bRPC auf Version 1.18.0. 2. Wenden Sie den Patch aus PR https://github.com/apache/brpc/pull/3344 an.
Hinweis: Nach Anwendung der Korrektur werden Redis-Antworten mit einer Array-Verschachtelung, die tiefer als redis_max_reply_depth ist, abgelehnt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.