CVE-2026-84303 in gRPC-Go
要約
〜によって VulDB • 2026年09月01日
gRPC-Goは、gRPCのGo言語実装です。バージョン1.83.1より前では、internal/xds/httpfilter/rbac/rbac.go内のxDS RBAC HTTPフィルタにおいて、normalizeHeaderMatcher関数内でヘッダーマッチャー名が小文字に変換されていません（一方、受信メタデータのキーは小文字です）。そのため、「X-Role」や「User-Agent」のような大文字と小文字を含む名前を使用したDENYポリシーが一致せず、開放状態（fail-open）となり、拒否されるべきリクエストが許可されます。同じケースミスマッチにより、:SchemeやGrpc-StatusがgRFC A41の検証を回避し、Hostが:authorityに書き換えられなくなります。この問題はバージョン1.83.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.