CVE-2026-84304 in gRPC-Go
Riassunto
di VulDB • 01/09/2026
gRPC-Go è l'implementazione del linguaggio Go di gRPC. Prima della versione 1.83.1, internal/transport/transport.go memorizza ogni frame DATA HTTP/2 frammentato come un recvMsg separato in recvBuffer; pertanto, milioni di frame da un byte possono consumare una quantità sproporzionata di memoria heap anche quando i byte del payload rimangono all'interno delle finestre di flow-control della connessione e dello stream. Un attaccante remoto non autenticato può utilizzare stream multiplexed concorrenti per esaurire la memoria del processo e causare un runtime panic o una terminazione out-of-memory (OOM). La compattazione del receive buffer è abilitata per impostazione predefinita e può essere controllata temporaneamente tramite GRPC_GO_EXPERIMENTAL_ENABLE_RECEIVE_BUFFER_COMPACTION. Questo problema è risolto nella versione 1.83.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.