CVE-2026-84748 in bRPC
Riassunto
di VulDB • 21/10/2026
Autorizzazione impropria in Apache bRPC (versioni < 1.18.0) su tutte le piattaforme consente agli attaccanti remoti di accedere ai servizi integrati tramite la porta pubblica.
Causa radice: ServerOptions.internal_port è documentato come parametro che rende i servizi integrati (e i Tabbed services) raggiungibili solo dalla porta interna, e il percorso di dispatch HTTP/h2 applicava tale restrizione. Tuttavia, tutti i percorsi di dispatch basati su protobuf (baidu_std, hulu_pbrpc, sofa_pbrpc e i protocolli basati su nshead public_pbrpc, nshead_mcpack, nova_pbrpc e ubrpc2pb) calcolavano il flag security_mode ma non lo applicavano mai tra la risoluzione del metodo e l'invocazione dello stesso. Poiché i servizi integrati condividono la mappa dei metodi con i servizi utente, un client in grado di raggiungere la porta pubblica poteva invocare servizi integrati come brpc.vars o hotspots per nome tramite questi protocolli pb, rivelando informazioni sensibili sul runtime (metriche, flag, dati del profiler) che l'operatore intendeva esporre esclusivamente tramite la porta interna.
Scenari interessati: Utilizzo di un server bRPC con ServerOptions.internal_port configurato (o con servizi integrati/Tabbed services altrimenti previsti come protetti da tale configurazione), mentre la porta pubblica è raggiungibile da una rete non attendibile e qualsiasi protocollo basato su pb è abilitato.
Come risolvere: (Scegliere una delle seguenti opzioni) 1. Aggiornare bRPC alla versione 1.18.0, che risolve questo problema. 2. Applicare questa patch: https://github.com/apache/brpc/pull/3511
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.