CVE-2026-78058

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description O consumo descontrolado de recursos no caminho de recebimento HTTP/2 (h2) permite que um invasor remoto não autenticado trave o servidor ou cause o crescimento ilimitado da memória enviando quadros HTTP/2 manipulados. O analisador h2, habilitado por padrão em todas as portas do servidor e usado por clientes h2/gRPC, não impõe os limites do lado do receptor. Especificamente, o servidor não verifica SETTINGS MAX CONCURRENT STREAMS, permitindo um número ilimitado de fluxos pendentes por conexão. Além disso, SETTINGS MAX HEADER LIST SIZE não é imposto, permitindo uma bomba HPACK onde pequenos quadros HEADERS são amplificados em listas de cabeçalhos decodificadas massivas, ou a memória se acumula via blocos HEADERS/CONTINUATION incompletos. Reconhecimentos de quadros de controle (incluindo PING, SETTINGS, RST STREAM, GOAWAY e WINDOW UPDATE) ignoram o limite de gravação -socket max unwritten bytes, permitindo que os buffers de conexão cresçam durante um flood de PING. Por fim, a atualização do tamanho da tabela dinâmica HPACK é validada em relação a um padrão do protocolo em vez do SETTINGS HEADER TABLE SIZE anunciado, o que pode levar à dessincronização do decodificador e a um travamento por desreferência de ponteiro NULL.

Recommendations Atualize o Apache bRPC para a versão 1.18.0 ou posterior. Aplique o patch oficial para o analisador h2 para impor limites de recursos.