CVE-2026-84304 in gRPC-Go
Resumen
por VulDB • 2026-09-01
gRPC-Go es la implementación del lenguaje Go de gRPC. Antes de la versión 1.83.1, internal/transport/transport.go almacena cada fragmento HTTP/2 DATA frame como un recvMsg separado en recvBuffer, por lo que millones de frames de un solo byte pueden consumir una cantidad desproporcionada de memoria heap incluso cuando los bytes del payload permanecen dentro de las ventanas de control de flujo de la conexión y el stream. Un atacante remoto no autenticado puede utilizar streams multiplexados concurrentes para agotar la memoria del proceso y provocar un runtime panic o una terminación por falta de memoria (out-of-memory). La compaction del receive-buffer está habilitada por defecto y se puede controlar temporalmente mediante GRPC_GO_EXPERIMENTAL_ENABLE_RECEIVE_BUFFER_COMPACTION. Este problema está resuelto en la versión 1.83.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.