CVE-2026-78334

Tüm platformlarda Apache bRPC (versiyon < 1.18.0) streaming RPC yolundaki kimlik doğrulama eksikliği, bir sunucu Authenticator ile yapılandırıldığında, uzaktaki bir saldırganın sunucu kimlik doğrulamasını atlamasına ve streaming çerçeveleri enjekte etmesine veya iletmesine olanak tanır. Kök Neden: Kimlik doğrulama yapılandırıldığında, streaming RPC çerçeveleri doğrudan streaming ayrıştırıcı (ParseStreamingMessage) tarafından tüketilir ve InputMessenger'ın kimlik doğrulama kancasından asla geçmez; bu nedenle, kimlik doğrulaması yapılmamış bir eş, kimlik doğrulaması olmadan çerçeve alışverişinde bulunabilir. Ek olarak, sunucu tarafından kabul edilen bir akış, tesadüfen kendi kimliğini taşıyan ilk çerçeveye tembelce bağlanır; böylece bir akış, kendisini oluşturan soket dışındaki başka bir soketten gelen ve kendi kimliğini taşıyan bir çerçeveyi kabul edebilir. Etkilenen Senaryolar: Güvenilmeyen bir ağdan streaming RPC hizmeti veren ve kimlik doğrulama ile yapılandırılmış bir bRPC sunucusu veya yabancı bir bağlantının bir akışı kimliğiyle taklit edebileceği bir dağıtım, yetkisiz streaming çerçevelerini kabul etmeye zorlanabilir. Nasıl Düzeltilir: Bu sorunu gideren bRPC sürümü 1.18.0'a yükseltin veya https://github.com/apache/brpc/pull/3481 adresindeki PR yamasını uygulayın. Not: Düzeltme, yapılandırılan kimlik doğrulama tamamlanmadığında sunucu soketlerindeki streaming çerçevelerini reddeder ve sunucu tarafından kabul edilen akışların onları oluşturan RPC soketine bağlı kalmasını sağlar ve başka bir soketten gelen çerçeveleri reddeder. Kimliği doğrulanmış streaming RPC davranışı ve hat formatı değişmemiştir; yalnızca kimliği doğrulanmamış veya yabancı soket çerçeveleri artık reddedilmektedir.