CVE-2026-121808

Nome do Software Vulnerável e Versões Afetadas grpc versões 0.4.0 through 0.9.x grpc core versões 1.0.0 through 1.0.x

Description Existe um problema onde invasores não autenticados podem causar o esgotamento da memória do servidor enviando um termo externo Erlang compactado no corpo de uma mensagem gRPC. A função GRPC.Codec.Erlpack.decode/2 passa o corpo da mensagem para :erlang.binary to term/2, que infla termos compactados totalmente sem um limite de tamanho. Como o limite max body size do servidor rastreia apenas bytes compactados, uma requisição usando Content-Type: application/grpc+erlpack pode forçar o servidor a alocar memória significativamente maior que o corpo da requisição original. Isso ocorre porque as verificações de tipo do codec são executadas apenas após o termo ter sido decodificado.

Recommendations Para as versões do grpc 0.4.0 through 0.9.x, atualize para a versão 1.0.0 ou posterior. Para as versões do grpc core 1.0.0 through 1.0.x, atualize para a versão 1.1.0 ou posterior. Como mitigação temporária, remova o GRPC.Codec.Erlpack da lista de codecs do servidor, caso não seja necessário. Se o codec for necessário, implemente um codec wrapper que gere um erro na função decode/2 quando o corpo iniciar com os bytes de tag de termo compactado 131, 80.