CVE-2026-84747

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description Um conflito de interpretação na implementação do protocolo HTTP permite que atacantes remotos ignorem as regras de controle de acesso impostas por um proxy frontal. A função FindMethodPropertyByURI() divide a rota da solicitação usando um divisor de strings que ignora campos vazios. Consequentemente, rotas com barras consecutivas (segmentos de rota vazios), como //flags, são tratadas como a forma colapsada /flags. Como um proxy frontal que impõe uma Lista de Controle de Acesso (ACL) pode corresponder apenas à forma colapsada, ele pode encaminhar o literal preenchido para o servidor bRPC, que então o despacha para o serviço restrito. Além disso, a implementação do HTTP/2 não valida o pseudo-cabeçalho :path, permitindo que solicitações que não começam com / ou que não sejam a forma de asterisco * sejam processadas, contrariando a RFC 9113.

Recommendations Atualize o Apache bRPC para a versão 1.18.0. Aplique o patch oficial fornecido no pull request 3512. Como mitigação para implementações que exigem o comportamento permissivo anterior, ative a gflag -http allow empty path segments, embora isso não seja recomendado para servidores expostos a tráfego não confiável.