Apache bRPC: Authentifizierungsumgehung über internal_port und Built-in-Services
Zusammenfassung
Auf bRPC-Servern, die sowohl ServerOptions.auth als auch ServerOptions.internal_port setzen, werden Built-in-HTTP-Services, die über internal_port angefragt werden, ohne Prüfung von Zugangsdaten akzeptiert. Das Authentifizierungsergebnis gilt für die gesamte Verbindung, weshalb ein Angreifer, der zuerst eine solche Anfrage sendet, auf dieser Verbindung ohne gültige Zugangsdaten auf normale authentifizierte Services zugreifen kann. Der Angriff ist aus der Ferne möglich und erfordert keine Authentifizierung, betrifft aber nur Server, bei denen beide Einstellungen gemeinsam verwendet werden.
Betroffen
- Apache bRPC-Versionen vor 1.18.0
- Nur Server, die sowohl ServerOptions.auth als auch ServerOptions.internal_port setzen
Behoben in
- Apache bRPC 1.18.0 und Fix-PR 3525
- Offener Punkt: Ein Folge-PR 3622 meldet, dass RTMP-Verkehr weiterhin über internal_port bedient wurde. Unbekannt, ob dies in 1.18.0 enthalten ist.
Umgehung
- Normalen Service-Verkehr auf den Hauptport übertragen, der an Server::Start() übergeben wird
- Netzwerkzugriff auf internal_port auf vertrauenswürdige Management-Hosts beschränken
- internal_port entfernen, falls er nicht benötigt wird
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
- In den geprüften Quellen ist kein öffentlicher PoC und keine aktive Ausnutzung bestätigt.
- EPSS: 0.33% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen.
Unsere Empfehlung
- Auf bRPC 1.18.0 aktualisieren oder PR 3525 anwenden und prüfen, ob das RTMP-Folgefix enthalten ist.
- Prüfen, ob internal_port in eigener Software oder Produkten von Lieferanten gesetzt ist, und Lieferanten nach der eingesetzten bRPC-Version fragen.
- Bis zur Behebung den Verkehr von internal_port wegleiten oder den Zugriff auf vertrauenswürdige Hosts beschränken.
- Logs auf nicht authentifizierte Anfragen über internal_port überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread lists.apache.org
- Apache bRPC fix pull request 3525 github.com
- Follow-up pull request 3622 (RTMP on internal_port) github.com
- OpenCVE CVE-2026-86249 app.opencve.io
- VulDB 424778 vuldb.com
- StriX CVE-2026-86249 www.strix.ai
- SecurityOnline: bRPC vulnerabilities patched in 1.18.0 securityonline.info
- Mail archive dev@brpc.apache.org msg18447 www.mail-archive.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.