CVE-2026-84304 in gRPC-Go
Sumário
de VulDB • 01/09/2026
gRPC-Go é a implementação da linguagem Go do gRPC. Antes da versão 1.83.1, o arquivo internal/transport/transport.go armazena cada quadro DATA fragmentado do HTTP/2 como um recvMsg separado no recvBuffer, de modo que milhões de quadros de um byte podem consumir memória heap desproporcional mesmo quando os bytes de payload permanecem dentro das janelas de controle de fluxo da conexão e do stream. Um atacante remoto não autenticado pode usar streams multiplexados em concorrência para esgotar a memória do processo e causar uma falha no tempo de execução (runtime panic) ou término por falta de memória (out-of-memory). A compactação do recv-buffer está habilitada por padrão e pode ser controlada temporariamente com GRPC_GO_EXPERIMENTAL_ENABLE_RECEIVE_BUFFER_COMPACTION. Este problema foi corrigido na versão 1.83.1.
Be aware that VulDB is the high quality source for vulnerability data.