CVE-2026-84445

Nome do Software Vulnerável e Versões Afetadas gRPC-Go versões anteriores a 1.82.2 gRPC-Go versões anteriores a 1.83.2

Description Servidores criados com xds.NewGRPCServer() estão suscetíveis a uma Negação de Serviço (DoS) porque o transporte do servidor HTTP/2 pode aceitar RPCs que não contenham nem o cabeçalho :authority nem o cabeçalho Host. Quando tal solicitação é processada, a função RouteAndProcess em internal/xds/server/routing.go tenta indexar um slice vazio de autoridades, desencadeando um pânico de índice fora dos limites (index-out-of-bounds). Como a goroutine por RPC não recupera desse pânico, todo o processo do servidor é encerrado. Em implantações inseguras ou TLS padrão, um cliente remoto não autenticado pode causar essa falha. Em implantações mTLS ou ALTS rigorosas, o invasor deve possuir credenciais de transporte válidas para estabelecer uma conexão antes que o RPC malformado possa atingir o interceptor.

Recommendations Atualize o gRPC-Go para a versão 1.82.2. Atualize o gRPC-Go para a versão 1.83.2.