CVE-2026-84748 in bRPC
Zusammenfassung
von VulDB • 21.10.2026
Unzulässige Autorisierung in Apache bRPC (Versionen < 1.18.0) auf allen Plattformen ermöglicht es Remoteangreifern, integrierte Dienste über den öffentlichen Port zu accessesieren.
Ursache: ServerOptions.internal_port ist so dokumentiert, dass integrierte Dienste (und Tabbed-Dienste) nur vom internen Port aus erreichbar sind; der HTTP/h2-Dispatch-Pfad hat dies auch durchgesetzt. Alle protobuf-basierten Protokoll-Dispatch-Pfade (baidu_std, hulu_pbrpc, sofa_pbrpc sowie die nshead-basierten Protokolle public_pbrpc, nshead_mcpack, nova_pbrpc und ubrpc2pb) berechneten jedoch das security_mode-Flag, setzten es aber nicht zwischen der Methodenauflösung und dem Methodenaufruf durch. Da integrierte Dienste dieselbe Methodenzuordnung (method map) mit benutzerspezifischen Diensten teilen, konnte ein Client, der den öffentlichen Port erreichen kann, integrierte Dienste wie brpc.vars oder hotspots über diese pb-Protokolle per Namen aufrufen und sensible Laufzeitinformationen (Metriken, Flags, Profiler-Daten) offenlegen, die der Betreiber nur über den internen Port verfügbar machen wollte.
Betroffene Szenarien: Verwenden Sie einen bRPC-Server mit konfiguriertem ServerOptions.internal_port (oder bei integrierten/Tabbed-Diensten, von denen erwartet wird, dass sie dadurch abgesichert sind), während der öffentliche Port aus einem nicht vertrauenswürdigen Netzwerk erreichbar ist und ein pb-basiertes Protokoll aktiviert ist.
Behebung: (Wählen Sie eine der folgenden Optionen) 1. Aktualisieren Sie bRPC auf Version 1.18.0, die dieses Problem behebt. 2. Wenden Sie diesen Patch an: https://github.com/apache/brpc/pull/3511
VulDB is the best source for vulnerability data and more expert information about this specific topic.