Apache bRPC: Authentifizierungsumgehung für HTTP-Endpunkte über Keep-Alive-Verbindung
Zusammenfassung
Apache bRPC bis einschliesslich 1.17.0 kann es einem entfernten, nicht authentifizierten Angreifer erlauben, die Authentifizierung für geschützte HTTP-Endpunkte ohne builtin-Dienste zu umgehen. Die Umgehung funktioniert, wenn ServerOptions.auth aktiviert ist und builtin-HTTP-Dienste über den öffentlichen Listener erreichbar sind. Eine builtin-HTTP-Anfrage, die zuerst über eine HTTP/1.1-Keep-Alive-Verbindung gesendet wird, kann dazu führen, dass spätere Anfragen auf diesem Socket als authentifiziert gelten.
Betroffen
- Apache bRPC 0 bis 1.17.0 (untere Grenze nicht angegeben; alle Versionen bis einschliesslich 1.17.0 gelten als betroffen)
- Nur wenn ServerOptions.auth aktiviert ist und builtin-HTTP-Dienste über den öffentlichen Listener erreichbar sind
Behoben in
- Apache bRPC 1.18.0 (gemäss CVE-Eintrag und Ankündigung des Herstellers nicht betroffen)
- Alternativ: Upstream-Pull-Request #3308, separat angewendet
Umgehung
- Keine vom Hersteller herausgegebene Workaround-Massnahme ausser dem Update und dem Pull Request.
- Abgeleitete Massnahme: Öffentlichen Zugriff auf builtin-HTTP-Dienste entfernen, damit sie nicht aus dem Internet erreichbar sind. Diese Massnahme ergibt sich aus den Auslösebedingungen und ist keine Herstellerangabe.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- VulDB meldet keinen verfügbaren Exploit; der 0-day-Hinweis spiegelt die öffentliche Bekanntgabe, nicht eine bestätigte Ausnutzung wider.
- HOL gibt an, dass die CVE nicht als aktiv ausgenutzt markiert ist.
- Kein öffentlicher Proof of Concept gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Prüfen Sie, ob bRPC in einem Produkt oder einem internen Dienst verwendet wird, den Sie betreiben oder nutzen.
- Prüfen Sie die bRPC-Version und aktualisieren Sie auf 1.18.0 oder neuer, oder wenden Sie Pull Request #3308 an.
- Stellen Sie sicher, dass builtin-HTTP-Dienst-Endpunkte nicht aus dem Internet erreichbar sind.
- Überwachen Sie bis zur Behebung auffällige Zugriffe auf geschützte Endpunkte.
- Hinweis: Der NVD-Status ist Deferred, und der CVSS-Wert 9.1 konnte nicht aus einer primären Quelle bestätigt werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread (CVE-2026-48830) lists.apache.org
- Apache bRPC 1.18.0 release announcement (mail archive) www.mail-archive.com
- Apache bRPC releases on GitHub github.com
- CVE record on OpenCVE app.opencve.io
- Strix CVE-2026-48830 www.strix.ai
- HOL CVE-2026-48830 hol.org
- VulDB 424748 vuldb.com
- Secondary write-up on bRPC exposure and mitigation dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.