PT-2026-146971
CVE-2026-121809
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
grpc server الإصدارات من 1.0.0 إلى 1.0.9
grpc الإصدارات من 0.3.1 إلى 0.9.9
Description
يمكن لمهاجم غير مصرح له التسبب في حجب الخدمة من خلال إشغال مجدول BEAM إلى أجل غير مسمى. يحدث هذا أثناء طلبات البث من العميل أو البث ثنائي الاتجاه عندما ينتهي جسم الطلب داخل رسالة gRPC. وتحديداً، تستمر الدالة
read stream/1 في GRPC.Server.Adapters.Cowboy في طلب المزيد من البيانات عندما لا يحتوي المخزن المؤقت على رسالة كاملة. إذا انتهى جسم الطلب، فإن عمليات القراءة اللاحقة تعيد كتلًا فارغة، مما يجعل الدالة تعيد المحاولة إلى ما لا نهاية. يمكن لبادئة طول مكونة من 5 بايت مرسلة مع END STREAM أن تبقي مجدولاً واحداً مشغولاً طوال فترة الاتصال، ويمكن للطلبات المتكررة أن تستنفد جميع المجدولين.Recommendations
تحديث grpc server إلى الإصدار 1.1.0 أو أحدث.
تحديث grpc إلى الإصدار 1.0.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾