CVE-2026-84303 in gRPC-Go
요약
\~에 의해 VulDB • 2026. 09. 01.
gRPC-Go는 gRPC의 Go 언어 구현체입니다. 버전 1.83.1 이전에서는 internal/xds/httpfilter/rbac/rbac.go에 있는 xDS RBAC HTTP 필터가 normalizeHeaderMatcher 함수 내에서 헤더 매처 이름들을 소문자로 변환하지 않습니다. 반면, 수신되는 메타데이터 키들은 이미 소문자이므로, X-Role 또는 User-Agent와 같은 대소문자가 혼합된 이름을 사용하는 DENY 정책은 일치하지 않아 실패(open)하게 되며, 이는 거부되어야 할 요청을 허용합니다. 동일한 케이스 불일치로 인해 :Scheme 및 Grpc-Status가 gRFC A41 검증을 우회할 수 있으며, Host를 :authority로 재작성하는 것이 방지됩니다. 이 문제는 버전 1.83.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.