CVE-2026-84303 in gRPC-Go
Riassunto
di VulDB • 01/09/2026
gRPC-Go è l'implementazione del linguaggio Go di gRPC. Prima della versione 1.83.1, il filtro HTTP RBAC xDS in internal/xds/httpfilter/rbac/rbac.go non converte in minuscolo i nomi dei matcher degli header nella funzione normalizeHeaderMatcher, anche se le chiavi dei metadata in ingresso sono già in minuscolo. Di conseguenza, una policy DENY che utilizza un nome con maiuscole e minuscole (ad esempio X-Role o User-Agent) non corrisponde e fallisce aprendo la porta (fails open), consentendo richieste che dovrebbero essere rifiutate. La stessa discrepanza di case permette a :Scheme o Grpc-Status di eludere la validazione gRFC A41 ed impedisce la riscrittura dell'header Host in :authority. Questo problema è stato risolto nella versione 1.83.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.