Apache bRPC: Out-of-Bounds-Schreibzugriff im Redis-Command-Parser

Zusammenfassung

Apache bRPC akzeptiert ein leeres RESP-Array als Redis-Command-Header, was zu einem Out-of-Bounds-Schreibzugriff im Command-Parser führt. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der einen bRPC-Server mit aktiviertem Redis-Dienst erreichen kann, kann den Prozess zum Absturz bringen, was einen Denial of Service zur Folge hat. Der Parser läuft vor der Authentifizierung, daher sind keine Zugangsdaten nötig. Eine Codeausführung ist nicht bestätigt.

Betroffen

• Apache bRPC-Versionen vor 1.18.0
• Nur Installationen, die ServerOptions.redis_service aktivieren und Redis-Protokolltraffic von nicht vertrauenswürdigen Clients annehmen
• Die Standardkonfiguration ist nicht betroffen

Behoben in

• Apache bRPC 1.18.0 (die Release Notes nennen die Korrektur #3354)
• Patch: https://github.com/apache/brpc/pull/3354 (für Builds aus dem Quellcode)

Umgehung

• Kein vom Hersteller veröffentlichter Workaround. Unbestätigte Ableitung: Wenn redis_service nicht gesetzt ist, sollte der Redis-Parser nicht erreichbar sein.
• Der Zugriff auf den Redis-Port mittels Firewall-Regeln oder Netzwerksegmentierung reduziert die Exposition. Vor dem Einsatz testen.

Ausnutzung

• Ausnutzung: laut CISA SSVC keine bekannt (Exploitation: none, Automatable: yes).
• Nicht in der CISA-KEV-Liste. Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Bei bRPC-basierter Software und Abhängigkeiten ein Inventar erstellen (Lockfiles, SBOMs) und in Konfiguration oder Code nach redis_service suchen.
• Auf bRPC 1.18.0 oder neuer aktualisieren oder bei Eigenbau den PR #3354 anwenden.
• Nicht vertrauenswürdigen Zugriff auf den Redis-Port bis zur Behebung sperren.
• Aus dem Internet erreichbare bRPC-Redis-Ports als hohe Priorität behandeln.
• Unerwartete Abstürze von bRPC-Prozessen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache bRPC 1.18.0 release notes github.com
• OpenCVE record app.opencve.io
• Apache mailing list thread lists.apache.org
• Strix CVE page www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:37.