- Yama var
- Son 7 gün
- CWE-770
CVE-2026-71397
elixir-grpc grpc_server akış RPC'lerinde sınırsız istek gövdesi birikimi ve bellek tükenmesi
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- EEF
Yönetici özeti
Bu açık, dışarıdan erişilebilen gRPC tabanlı servisleri kimlik doğrulaması olmadan çökertilebilir hale getirir. Servis kesintisi, müşteri işlemlerinin durması ve itibar kaybı gibi doğrudan iş riskleri doğurabilir. Etkilenen sistemlerin hızla güncellenmesi önerilir.
ÖzetTürkçe
elixir-grpc grpc_server bileşeninin 1.0.0 ile 1.0.6 öncesi sürümlerinde, istemci akışı (client-streaming) ve çift yönlü akış (bidirectional-streaming) RPC çağrılarında gelen veri üst sınırı denetlenmez. Tek istekli (unary) okuma yolu yapılandırılmış max_body_size sınırını uygularken, akış okuma yolu bu sınırı kontrol etmez ve gelen her parçayı tamponda biriktirir. Etkilenen sunucular, kimlik doğrulaması gerektirmeyen saldırganların hazırladığı büyük istekler karşısında savunmasızdır.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, çok büyük bir mesaj ilan edip bunu çok sayıda küçük HTTP/2 veri çerçevesi ile göndererek sunucunun belleğini tüketebilir ve düğümün çökmesine neden olabilir.
Kaynaktaki açıklama (İngilizce)
Allocation of Resources Without Limits or Throttling vulnerability in elixir-grpc grpc_server allows unauthenticated attackers to exhaust memory and crash the node via an oversized client-streaming or bidirectional-streaming request body.
The streaming read clause of 'Elixir.GRPC.Server.Adapters.Cowboy.Handler':info/3 (grpc_server/lib/grpc/server/adapters/cowboy/handler.ex) never checks the configured max_body_size. Only the unary read path enforces that cap. 'Elixir.GRPC.Server.Adapters.Cowboy':reading_stream/1 (grpc_server/lib/grpc/server/adapters/cowboy.ex) appends every received chunk to its buffer until a complete length-prefixed message arrives. A client can declare a very large message and send it across many small HTTP/2 DATA frames, and the server buffers all of it.
This issue affects grpc_server: from 1.0.0 before 1.0.6.
Ne yapmalı?
- grpc_server bileşenini 1.0.6 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme yapamadığınız durumda, gRPC servislerinizi kamuya açık ağdan erişimi kısıtlayan bir güvenlik duvarı veya ters vekil arkasına alın. Genel öneri
- Sunucu belleği kullanımını ve düğüm yeniden başlatma olaylarını izleyerek olası saldırı girişimlerini tespit edin. Genel öneri
Ek önlemler
- Üretim ortamındaki tüm elixir-grpc bağımlılıklarını envanterleyin ve sürüm bilgilerini doğrulayın. Genel öneri
- Akış RPC'leri için istemci tarafında ve ağ katmanında makul istek boyutu sınırları uygulayın. Genel öneri
- Bellek kullanımında ani artışları ve tekrarlayan çökmeleri uyarı olarak izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| elixir-grpc Grpc Server | ≥ 1.0.0, < 1.0.6 | 1.0.6 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…c/grpc/security/advisories/GHSA-vx6q-cr5q-945g Üretici bülteni
- github.com/…ommit/0b663ca53dbf0f36f7f67ff1d0026f4482a18915 Yama
- cna.erlef.org/cves/CVE-2026-71397.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-71397 Diğer
- github.com/…ommit/49e18c3ec6bb9afe2f712caad3dbab5c56a68a00 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.