CVE-2026-86249

Həm ServerOptions.auth, həm də ServerOptions.internal_port təyin edilmiş brpc::Server-də, internal_port üzərindəki daxili HTTP xidməti istisnası autentifikasiyadan tamamilə yan keçmək üçün istifadə edilə bilər. internal_port vasitəsilə daxili xidmət sorğu edildikdə, VerifyHttpRequest() heç bir etibarlılıq yoxlamadan true qaytarır və bu qərar hər sorğu üçün təkrarla mır: yoxlama yalnız bağlantının ilk mesajı üçün icra olunur və nəticə bütün bağlantıya şamil edilir. İlk öncə internal_port-a GET /status kimi sorğunun göndərilməsi bütün bağlantını autentifikasiya edir, bundan sonra eyni bağlantı üzərindən göndərilən hər bir növbəti sorğu VerifyHttpRequest() çağırılmadan emal edilir. Bu, server ServerOptions.internal_port-u Authenticator ilə birlikdə istifadə etdikdə, uzaqdakı hücumçuya etibarlı məlumatlar təqdim etmədən adi (daxili olmayan, tabbed olmayan) autentifikasiya olunmuş xidmətlərə daxil olmağa imkan verir. Düzəliş internal_port-u elə məhdudlaşdırır ki, o, yalnız daxili və Tabbed xidmətləri daşısın; internal_port-a göndərilən adi xidmət sorğuları EPREM / HTTP 403 ilə rədd edilir. Yüngülləşdirmə / Düzəliş: versiyanı 1.18.0-a yüksəldin və ya https://github.com/apache/brpc/pull/3525 PR-ni tətbiq edin. Normal xidmətlərin internal_port üzərindən təmin edilməsinə güvənən istifadəçilər həmin sorğuları Server::Start() funksiyasına ötürülən porta köçürməlidirlər.