CVE-2026-84748 in bRPC
요약
\~에 의해 VulDB • 2026. 10. 22.
Apache bRPC(버전 < 1.18.0)의 부적절한 권한 부여로 인해 모든 플랫폼에서 원격 공격자가 공개 포트를 통해 내장 서비스에 접근할 수 있습니다.
근본 원인: ServerOptions.internal_port는 문서상 내장 서비스(Tabbed 서비스를 포함)가 내부 포트에서만 접근 가능하도록 해야 한다고 명시되어 있으며, HTTP/h2 디스패치 경로는 이를 강제했습니다. 그러나 모든 protobuf 기반 프로토콜 디스패치 경로(baidu_std, hulu_pbrpc, sofa_pbrpc 및 nshead 기반 프로토콜인 public_pbrpc, nshead_mcpack, nova_pbrpc, ubrpc2pb)는 security_mode 플래그를 계산하지만 메서드 해결(method resolution)과 메서드 호출 간에 이를 강제하지 않았습니다. 내장 서비스는 사용자 서비스와 동일한 method map을 공유하므로, 공개 포트에 도달할 수 있는 클라이언트는 이러한 pb 프로토콜을 통해 brpc.vars 또는 hotspots 같은 내장 서비스를 이름으로 호출하여 운영자가 내부 포트를 통해서만 노출하도록 의도했던 민감한 런타임 정보(메트릭스, 플래그, profiler 데이터)를 유출할 수 있습니다.
영향 받는 시나리오: 공개 포트가 신뢰할 수 없는 네트워크에서 접근 가능한 상태에서 ServerOptions.internal_port가 구성된 bRPC 서버를 사용하거나, 내장/Tabbed 서비스가 이를 통해 차단될 것으로 예상되는 경우이며, pb 기반 프로토콜 중 하나가 활성화되어 있을 때 발생합니다.
해결 방법: (다음 옵션 중 하나 선택) 1. 이 문제를 수정한 버전 1.18.0으로 bRPC를 업그레이드합니다. 2. 다음 패치를 적용합니다: https://github.com/apache/brpc/pull/3511
If you want to get best quality of vulnerability data, you may have to visit VulDB.