Zaloguj się
Deutsch English Español Polski
Wysoka

Connection confusion in gRPC

  • Ujawniono: 05.07.2023
  • Aktualizacja: 11.10.2026 13:20

When gRPC HTTP2 stack raised a header size exceeded error, it skipped parsing the rest of the HPACK frame. This caused any HPACK table mutations to also be skipped, resulting in a desynchronization of HPACK tables between sender and receiver. If leveraged, say, between a proxy and a backend, this could lead to requests from the proxy being interpreted as containing headers from different proxy clients - leading to an information leak that can be used for privilege escalation or data exfiltration.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) io.grpc:grpc-protobuf >= 1.53.0, < 1.53.1, >= 1.54.0, < 1.54.2 1.53.1, 1.54.2
Python (PyPI) grpcio >= 1.53.0, < 1.53.1, >= 1.54.0, < 1.54.2 1.53.1, 1.54.2

Odnośniki

Ocena CVSS 7.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H
Słabość (CWE)
CWE-440
Platforma
Java / Kotlin (Maven), Python (PyPI)
Paczka
io.grpc:grpc-protobuf, grpcio
Ujawniono
05.07.2023
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1427 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-cfgp-2977-2fmm - CC BY 4.0

Historia podatności: grpcio

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
6
Pierwsza → ostatnia
04.2017 09.2023
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 4
  • Średnia 1
  • Nieoceniona 1

Ujawnienia w latach

  1. Denial of Service Vulnerability in gRPC TCP Server (Posix-compatible platforms)
    Wysoka · 7.5 CVE-2023-4785 >= 1.55.0, < 1.55.3, >= 1.54.0, < 1.54.3, >= 1.53.0, < 1.53.2 1.55.3, 1.54.3, 1.53.2
  2. Excessive Iteration in gRPC
    Wysoka · 7.5 CVE-2023-33953 < 1.53.2, >= 1.54.0, < 1.54.3, >= 1.55.0, < 1.55.2, >= 1.56.0, < 1.56.2 1.53.2, 1.54.3, 1.55.2, 1.56.2
  3. gRPC connection termination issue
    Średnia · 5.3 CVE-2023-32732 >= 1.53.0, < 1.53.1, >= 1.54.0, < 1.54.2 1.53.1, 1.54.2
  4. gRPC Reachable Assertion issue
    Wysoka · 7.5 CVE-2023-1428 >= 1.51.0, < 1.53.0 1.53.0
  5. Connection confusion in gRPC ten wpis
    Wysoka · 7.4 CVE-2023-32731 >= 1.53.0, < 1.53.1, >= 1.54.0, < 1.54.2 1.53.1, 1.54.2
  6. Google gRPC before 2017-03-29 has an out-of-bounds write caused by a heap-based use-after-free related to the grpc_call_destroy function in core/lib/surface/call.c.
    Nieoceniona CVE-2017-8359 < 1.3.0 1.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.