Apache bRPC: Fehlende Authentifizierung für Streaming-RPC-Frames
Zusammenfassung
Apache bRPC vor Version 1.18.0 prüft die Authentifizierung für Streaming-RPC-Frames nicht. Ist auf einem Server ein Authenticator konfiguriert, kann ein entfernter Angreifer ohne Anmeldedaten Streaming-Frames einschleusen oder empfangen und einen Stream anhand seiner ID an eine fremde Verbindung binden. Dies kann zu unautorisierten Datenänderungen oder -zustellungen sowie zu Beeinträchtigungen der Verfügbarkeit führen. Das Problem betrifft nur Server mit konfigurierter Authentifizierung, die Streaming-RPC aus unvertrauenswürdigen Netzen akzeptieren.
Betroffen
- Apache bRPC auf allen Plattformen, Versionen 0 bis vor 1.18.0
- Nur Server mit konfiguriertem Authenticator
Behoben in
- Upgrade auf Apache bRPC 1.18.0
- Alternativ PR #3481 anwenden (https://github.com/apache/brpc/pull/3481)
Umgehung
- Sicherstellen, dass die Authentifizierung auf dem Server aktiv ist.
- Streaming-RPC nicht aus unvertrauenswürdigen Netzen akzeptieren; Zugriff auf Netzwerkebene einschränken.
- Keine weitere Massnahme bekannt.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt; kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total, Ausnutzung keine.
Unsere Empfehlung
- Prüfen, ob bRPC in Produkten oder Diensten eingesetzt wird, und Versionen unter 1.18.0 identifizieren.
- Auf 1.18.0 aktualisieren oder den Fix anwenden; alle bRPC-Probleme dieses Releases gemeinsam beheben, inklusive CVE-2026-86249 und CVE-2026-48830.
- Exponierung von Streaming-RPC-Diensten auf vertrauenswürdige Netze beschränken.
- Vor dem Einsatz Veröffentlichungsdatum und Prüfsummen auf der offiziellen Apache- oder GitHub-Seite verifizieren.
- CVSS-Wert bei NVD überprüfen; der Wert 9.1 konnte dort nicht bestätigt werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache vendor advisory thread lists.apache.org
- OpenCVE CVE-2026-78334 app.opencve.io
- Apache bRPC releases on GitHub github.com
- Apache bRPC 1.18.0 announcement www.mail-archive.com
- Strix CVE-2026-78334 www.strix.ai
- Strix CVE-2026-86249 (related) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.