CVE-2026-86146

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description A interpretação inconsistente de solicitações HTTP no analisador HTTP/1.1 incluído permite que atacantes remotos realizem o smuggling de solicitações e injetem cabeçalhos quando o software é implantado atrás de um proxy ou balanceador de carga que analisa bytes de forma diferente. Isso ocorre porque o analisador aceita várias formas de cabeçalhos HTTP/1.1 que front-ends conformes podem rejeitar ou interpretar de maneira distinta, levando à dessincronização entre os dois analisadores. Detalhes técnicos incluem a aceitação de espaços antes de dois pontos em cabeçalhos de enquadramento, a omissão de espaços internos no valor Content-Length e a aceitação de dobramento de linha obsoleto (obs-fold) para os valores Content-Length e Transfer-Encoding. Além disso, campos de trailer chunked são mesclados no mapa de cabeçalhos, permitindo potencialmente o smuggling de campos como Authorization ou X-Forwarded-For. Adicionalmente, listas de Transfer-Encoding com espaços opcionais após a vírgula podem não ser reconhecidas como chunked, causando a dessincronização da resposta.

Recommendations Atualize o Apache bRPC para a versão 1.18.0. Aplique o patch oficial fornecido no pull request 3521. Para restaurar a aceitação de valores dobrados de Content-Length ou Transfer-Encoding após a correção, defina a gflag http allow obs fold=true. Para rejeitar adicionalmente espaços dentro de qualquer nome de campo de cabeçalho, defina a gflag http strict header token=true.