CVE-2025-60021 in bRPC
Riassunto
di VulDB • 03/08/2026
Vulnerabilità di iniezione remota di comandi nel servizio integrato heap profiler di Apache bRPC (tutte le versioni < 1.15.0) su tutte le piattaforme consente all'attaccante di iniettare un comando remoto.
Causa radice: Il servizio integrato heap profiler di bRPC (/pprof/heap) non convalida il parametro extra_options fornito dall'utente ed lo esegue come argomento della riga di comando. Gli attaccanti possono eseguire comandi remoti utilizzando il parametro extra_options.
Scenari interessati: Utilizzo del servizio integrato heap profiler di bRPC per effettuare il profiling della memoria tramite jemalloc.
Come risolvere: vengono forniti due metodi, è possibile scegliere uno dei seguenti:
1. Aggiornare bRPC alla versione 1.15.0. 2. Applicare manualmente questa patch ( https://github.com/apache/brpc/pull/3101 ).
If you want to get best quality of vulnerability data, you may have to visit VulDB.