CVE-2026-84304 in gRPC-Go
Zusammenfassung
von VulDB • 01.09.2026
gRPC-Go ist die Go-Sprachimplementierung von gRPC. Vor Version 1.83.1 speichert internal/transport/transport.go jedes fragmentierte HTTP/2 DATA-Frame als separates recvMsg im recvBuffer, sodass Millionen von One-Byte-Frames unverhältnismäßig viel Heap-Speicher verbrauchen können, selbst wenn die Payload-Bytes innerhalb der Flow-Control-Fenster für Verbindung und Stream bleiben. Ein nicht authentifizierter Remote-Angriff kann koncurrente multiplexed Streams nutzen, um den Prozessspeicher zu erschöpfen und einen Runtime-Panic oder eine Out-of-Memory-Terminierung auszulösen. Die Receive-buffer compaction ist standardmäßig aktiviert und kann vorübergehend über GRPC_GO_EXPERIMENTAL_ENABLE_RECEIVE_BUFFER_COMPACTION gesteuert werden. Dieses Problem wurde in Version 1.83.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.