CVE-2026-84303

Nome do Software Vulnerável e Versões Afetadas gRPC-Go versões anteriores a 1.83.1

Description O filtro HTTP RBAC xDS em internal/xds/httpfilter/rbac/rbac.go não converte os nomes do correspondente de cabeçalho para letras minúsculas na função normalizeHeaderMatcher(), embora as chaves de metadados recebidas sejam em letras minúsculas. Essa divergência de caixa permite que políticas de negação (DENY) que utilizam nomes com letras maiúsculas e minúsculas, como X-Role ou User-Agent, falhem ao abrir, permitindo requisições que deveriam ser rejeitadas. Além disso, esse problema permite que :Scheme ou Grpc-Status evitem a validação gRFC A41 e impede que o cabeçalho Host seja reescrito para :authority.

Recommendations Atualizar para a versão 1.83.1.