CVE-2026-78066

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description Ocorre exaustão de recursos em todas as plataformas devido a múltiplos analisadores que não limitam os tamanhos declarados pelo cliente ou o tamanho da saída descompactada. Isso permite que invasores causem consumo desproporcional de memória e travem o processo. O problema originou-se de várias causas: os descompactadores gzip, zlib e snappy não impõem limites de saída, pois o -max body size verifica apenas bytes compactados; leitores de string AMF alocam comprimentos declarados antes que os bytes estejam disponíveis; cabeçalhos de chunk RTMP permitem redclarações de comprimento de mensagem ilimitadas durante a transmissão; o analisador sofa-pbrpc não limita o meta size; e o mcpack2pb confia em contagens de itens declaradas para Reserve(), onde um value size de 0 pode causar um underflow no tamanho do buffer.

Recommendations Atualize para a versão 1.18.0. Aplique o patch oficial fornecido no pull request 3476. Para operadores que necessitem de valores maiores após a correção, aumente as flags -max decompressed body size e max body size.