Katalog podatności CVE

Podatność w Apache bRPC (wersje < 1.18.0) polega na nieograniczonym gromadzeniu danych w pamięci podczas składania pofragmentowanych wiadomości strumieniowych. Zdalny atakujący może wysyłać niekończącą się sekwencję ramek kontynuacyjnych, powodując wyczerpanie pamięci serwera i odmowę usługi (DoS).

W kliencie streamingowym Apache bRPC (wersje 1.11.0–1.17.0) występuje podatność typu out-of-bounds read. Klient tworzący wiele strumieni w jednym RPC indeksuje zwrócone identyfikatory extra_stream_id bez uprzedniego sprawdzenia rozmiaru listy, więc złośliwy lub przejęty serwer może zwrócić malformed StreamSettings z mniejszą liczbą identyfikatorów i wywołać odczyt poza granicami bufora.

Brak uwierzytelniania w ścieżce strumieniowego RPC Apache bRPC (wersja < 1.18.0) pozwala zdalnemu atakującemu ominąć uwierzytelnianie serwera i wstrzykiwać lub dostarczać ramki strumieniowe, gdy serwer ma skonfigurowany Authenticator. Ramki strumieniowe nie przechodzą przez hak uwierzytelniania, a strumienie mogą być przechwycone przez inne gniazdo o tym samym identyfikatorze.

Podatność na wyczerpanie zasobów w Apache bRPC w wersjach przed 1.18.0 dotyczy wielu parserów przetwarzających dane kontrolowane przez klienta. Dekompresory gzip/zlib/snappy nie ograniczają rozmiaru danych wyjściowych, a parsery AMF, RTMP, sofa-pbrpc i mcpack2pb ufają rozmiarom deklarowanym w transmisji, co pozwala atakującemu wywołać nadmierne zużycie pamięci i awarię procesu.

Apache bRPC w wersji < 1.18.0 zawiera podatność na niekontrolowane zużycie zasobów w ścieżce odbioru HTTP/2 (h2). Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane ramki HTTP/2, aby wywołać awarię serwera lub nieograniczony wzrost zużycia pamięci. Przyczyną jest brak egzekwowania limitów odbioru (m.in. MAX_CONCURRENT_STREAMS, MAX_HEADER_LIST_SIZE) oraz obejście limitu bufora zapisu przez ramki kontrolne.

Podatność w dekoderze kompresji nagłówków HPACK w stosie HTTP/2 (h2/gRPC) Apache bRPC w wersji < 1.18.0 pozwala zdalnemu atakującemu wywołać awarię procesu serwera poprzez wysłanie spreparowanej sekwencji nagłówków HPACK. Błąd polega na błędnym rozmiarze bufora pierścieniowego tabeli dynamicznej (34 zamiast 33 bajtów na wpis), co prowadzi do przepełnienia i przerwania CHECK, skutkując odmową usługi.

Use-after-free na stercie w komponencie protokołu RTMP Apache bRPC (wersje < 1.18.0) pozwala zdalnemu atakującemu zawiesić serwer RTMP bRPC przez wysłanie spreparowanego komunikatu kontrolnego Abort. Gdy komunikat Abort wskazuje aktualnie parsowany strumień chunków, obiekt jest usuwany podczas działania Feed(), co prowadzi do use-after-free.

Niekontrolowana alokacja zasobów w komponencie mcpack2pb Apache bRPC (wersja < 1.18.0) pozwala zdalnym atakującym zmusić serwer do alokacji dużej ilości pamięci przez wysłanie spreparowanego żądania mcpack z ogromną liczbą elementów tablicy. Parser ufa liczbie elementów z nagłówka bez walidacji względem rzeczywistego rozmiaru ładunku, co może spowodować preallokację około 16 GB pamięci wirtualnej.

W komponencie mcpack2pb Apache bRPC w wersjach poniżej 1.18.0 występuje niedomiar liczby całkowitej. Funkcja UnparsedValue::as_string() oblicza `_size - 1` bez walidacji `_size`; gdy value_size wynosi 0, wyrażenie ulega niedomiarowi do SIZE_MAX, resize() zgłasza std::length_error, a nieprzechwycony wyjątek powoduje przerwanie procesu (SIGABRT).

Apache bRPC w wersjach przed 1.18.0 weryfikuje łańcuch certyfikatów serwera, gdy włączona jest weryfikacja peera TLS, ale nie wiąże certyfikatu z oczekiwaną nazwą DNS lub adresem IP. Atakujący w sieci, który może przekierować lub przechwycić połączenie i posiada certyfikat wystawiony przez zaufany CA dla innej nazwy, może podszyć się pod docelowy punkt końcowy TLS.

Podatność typu out-of-bounds read w Apache bRPC przed wersją 1.18.0 występuje na platformach, gdzie typ plain char jest bez znaku (np. ARM64). Bajty wejściowe z ustawionym najwyższym bitem (0x80–0xFF) nie są normalizowane do zakresu signed char, przez co indeksy w tablicach wyszukiwania URL i nagłówków (case-insensitive) wykraczają poza ich rozmiar. Umożliwia to zdalnemu atakującemu wywołanie awarii procesu i odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Apache bRPC w wersjach przed 1.18.0 nie egzekwuje spójnie skonfigurowanego limitu max_body_size podczas parsowania HTTP/1 i HTTP/2 w trybie nieprogresywnym oraz odpowiedzi memcache i couchbase. Zdalny nieuwierzytelniony peer może spowodować buforowanie danych ponad limit, prowadząc do wyczerpania pamięci i odmowy usługi.

W Apache IoTDB w wersjach od 2.0.0 przed 2.0.11 występuje brak uwierzytelniania dla krytycznej funkcji. Luka może pozwolić na nieautoryzowany dostęp do istotnej funkcjonalności systemu.

Protokół Legacy Pipe (handshake / sendPipeData) używa zaszytej tożsamości SUPER_USER (root) podczas wykonywania operacji ładowania i usuwania danych. Użytkownik z uprawnieniami tylko na poziomie SYSTEM (np. USE_PIPE lub MAINTAIN), bez uprawnień WRITE_DATA lub DELETE_DATA, może wysłać spreparowane komunikaty PipeData i wykonać operacje jako root, omijając model uprawnień IoTDB.

Implementacja protokołu Redis w Apache bRPC pozwalała parserowi poleceń inline na alokację i kopiowanie całego bufora połączenia przed otrzymaniem kompletnego polecenia zakończonego CRLF. Zdalny atakujący mógł wysyłać długie dane inline bez kończącego CRLF, zwiększając zużycie pamięci i obciążenie CPU, co potencjalnie prowadziło do odmowy usługi.

Parser poleceń Redis w Apache bRPC akceptuje pustą tablicę RESP jako nagłówek polecenia. Zdalny nieuwierzytelniony atakujący może wysłać pustą tablicę, a następnie ciąg bulk, powodując zapis poza granicami bufora i awarię procesu.

Parser AMF w komponencie RTMP Apache bRPC przyjmuje długości łańcuchów i liczby elementów tablic bezpośrednio z niezaufanych danych wejściowych. Zdalny nieuwierzytelniony atakujący może wysłać mały ładunek AMF z nadmierną zadeklarowaną długością lub liczbą elementów, powodując nadmierną alokację pamięci przed odrzuceniem niekompletnego ładunku.

Integer underflow i odczyt poza granicami bufora w parserze ramek DATA serwera HTTP/2 w Apache bRPC pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi poprzez wysłanie zniekształconej ramki DATA z ustawioną flagą PADDED i zerową długością ładunku.

Nieograniczona rekurencja w parserze AMF w Apache bRPC przed 1.18.0 pozwala zdalnemu peerowi RTMP na zawieszenie procesu bRPC poprzez wysłanie głęboko zagnieżdżonych obiektów lub tablic AMF. Parser przetwarzał zagnieżdżone kontenery bez limitu głębokości, co mogło wyczerpać stos natywny.

Nieograniczona rekurencja w parserze odpowiedzi Redis w Apache bRPC przed 1.18.0 pozwala zdalnemu serwerowi Redis na zawieszenie procesu klienta bRPC poprzez zwrócenie głęboko zagnieżdżonej odpowiedzi tablicy RESP. Parser rekurencyjnie przetwarzał każdy poziom zagnieżdżenia bez limitu głębokości.