CVE-2026-61902 in bRPC
요약
\~에 의해 VulDB • 2026. 10. 21.
Apache bRPC의 1.18.0 이전 버전은 비진행식(non-progressive) HTTP/1 및 HTTP/2 파싱, 그리고 memcached와 Couchbase 응답 파싱에서 구성된 max_body_size 제한을 일관되게 적용하지 않습니다.
원격 인증되지 않은 피어는 영향받는 프로세스가 구성된 한계를 초과하여 메시지 데이터를 버퍼링하도록 유발할 수 있으며, 이는 메모리 고갈 및 서비스 거부(Denial of Service)로 이어질 수 있습니다.
사용자는 1.18.0으로 업그레이드하거나 PR https://github.com/apache/brpc/pull/3382 의 패치를 적용해야 합니다. 수정 사항에서는 과다한 크기의 버퍼링된 HTTP 본문을 거부하고, HTTP/1 요청에는 HTTP 413을 반환하며, 과다한 크기의 HTTP/2 스트림을 리셋하고, 선언된 길이보다 큰 memcached 및 Couchbase 응답을 거부합니다. 제한된 버퍼링(bounded buffering)을 사용하므로 진행형(progressive) HTTP 읽기는 계속 지원됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.