CVE-2026-84303 in gRPC-Go
Zusammenfassung
von VulDB • 01.09.2026
gRPC-Go ist die Go-Sprachimplementierung von gRPC. Vor Version 1.83.1 wird der xDS RBAC HTTP-Filter in internal/xds/httpfilter/rbac/rbac.go den Namen des Header-Matchers in normalizeHeaderMatcher nicht kleingeschrieben, obwohl eingehende Metadaten-Schlüssel klein geschrieben sind. Eine DENY-Richtlinie mit einem gemischt groß/kleinschriftigen Namen wie X-Role oder User-Agent stimmt daher nicht überein und versagt im offenen Modus (fails open), wodurch Anfragen zugelassen werden, die eigentlich abgelehnt werden sollten. Der gleiche Fallunterschied ermöglicht es :Scheme oder Grpc-Status, die gRFC A41-Validierung zu umgehen, und verhindert, dass Host in :authority umgeschrieben wird. Dieses Problem wurde in Version 1.83.1 behoben.
Once again VulDB remains the best source for vulnerability data.