CVE-2026-33186

gRPC-Go, gRPC'nin Go dili uygulamasıdır. 1.79.3 öncesindeki sürümlerde, HTTP/2 `:path` sözde başlığının hatalı girdi doğrulaması nedeniyle bir kimlik doğrulama atlatma zafiyeti bulunmaktadır. gRPC-Go sunucusu yönlendirme mantığında çok esnek davranarak, `:path` kısmında zorunlu olan baştaki eğik çizginin eksik olduğu istekleri kabul etmekteydi (örneğin, `/Service/Method` yerine `Service/Method`). Sunucu bu istekleri doğru işleyiciye başarıyla yönlendirse de, kimlik doğrulama ara katmanları (resmi `grpc/authz` paketi dahil), ham ve kanonik olmayan yol dizesini değerlendiriyordu. Sonuç olarak, kanonik yollarla ( `/` ile başlayan) tanımlanan "reddet" kuralları gelen istekle eşleşmiyor ve eğer bir yedek "izin ver" kuralı mevcutsa, isteğin politikayı atlamasına neden oluyordu. Bu durum, `google.golang.org/grpc/authz` içindeki resmi RBAC uygulaması veya `info.FullMethod` ya da `grpc.Method(ctx)` kullanan özel ara katmanlar gibi yol tabanlı kimlik doğrulama ara katmanlarını kullanan gRPC-Go sunucularını VE güvenlik politikası kanonik yollar için belirli "reddet" kuralları içeren ancak diğer isteklere varsayılan olarak izin veren (yedek "izin ver" kuralı) sunucuları etkilemektedir. Zafiyet, doğrudan gRPC sunucusuna hatalı biçimlendirilmiş `:path` başlıklarına sahip ham HTTP/2 çerçeveleri gönderebilen bir saldırgan tarafından istismar edilebilir. 1.79.3 sürümündeki düzeltme, baştaki eğik çizgi ile başlamayan herhangi bir `:path` içeren isteğin derhal `codes.Unimplemented` hatasıyla reddedilmesini sağlayarak, isteğin kanonik olmayan bir yol dizesiyle kimlik doğrulama ara katmanlarına veya işleyicilere ulaşmasını engeller. Güncelleme yapmak en güvenli ve önerilen yöntem olsa da kullanıcılar zafiyeti şu yöntemlerden birini kullanarak hafifletebilir: Doğrulama yapan bir ara katman kullanmak (önerilen hafifletme), altyapı düzeyinde normalleştirme ve/veya politika sıkılaştırma.