CVE-2026-81755

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description O consumo descontrolado de recursos no componente de RPC de streaming permite que um invasor remoto cause a negação de serviço ao esgotar a memória do servidor. Isso ocorre quando um cliente envia uma única solicitação RPC contendo um número excessivo de identificadores de fluxo no campo stream settings.extra stream ids dos metadados do RPC. A função StreamAccept() no lado do servidor cria um fluxo de resposta para cada identificador declarado sem impor um limite. Como o tamanho do corpo da solicitação é limitado por max body size (padrão 64MB), ele pode acomodar milhões de identificadores. Cada fluxo aloca uma fila de execução bthread e recursos associados, levando ao esgotamento da memória.

Recommendations Atualize o Apache bRPC para a versão 1.18.0. Aplique o patch oficial para o componente de RPC de streaming. Para aplicações que exijam mais de 64 fluxos em um único RPC após a atualização, aumente a gflag stream max streams per request.