CVE-2026-56386

{
  "id": "CVE-2026-56386",
  "sourceIdentifier": "[email protected]",
  "published": "2026-10-21T12:17:21.410",
  "lastModified": "2026-10-26T21:10:00.170",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Integer underflow and out-of-bounds read in the HTTP/2 server DATA frame parser in Apache bRPC allows an unauthenticated remote attacker to cause denial of service by sending a malformed DATA frame with the PADDED flag set and a zero-length payload.\n\nRoot Cause:\nThe HTTP/2 DATA frame handler computed the fragment size from the attacker-controlled payload length and, when the PADDED flag was present, decremented the fragment size before ensuring that the frame contained the mandatory pad length byte. A zero-length padded DATA frame could therefore underflow the unsigned fragment size and read the pad length byte past the end of the frame buffer.\n\nAffected Scenarios:\nApache bRPC servers that accept HTTP/2 traffic are affected when a remote client can send crafted HTTP/2 frames to the server. HTTP/2 may be reached through cleartext h2c detection on an HTTP port or through TLS ALPN negotiation.\n\nHow to Fix:\n(Choose one of the following options)\n1. Upgrade Apache bRPC to version 1.18.0, which fixes this issue.\n2. Apply this patch:  https://github.com/apache/brpc/pull/3325 \n\nNote:\nThe fix validates that a padded DATA frame has enough payload bytes for the pad length field before decrementing the fragment size or reading the pad length byte. Malformed zero-length padded DATA frames are rejected with HTTP/2 FRAME_SIZE_ERROR."
    },
    {
      "lang": "es",
      "value": "Desbordamiento de entero y lectura fuera de límites en el analizador de tramas DATA del servidor HTTP/2 en Apache bRPC permite a un atacante remoto no autenticado causar una denegación de servicio enviando una trama DATA malformada con la bandera PADDED activada y una carga útil de longitud cero.\\n\\nCausa raíz:\\nEl controlador de tramas DATA de HTTP/2 calculó el tamaño del fragmento a partir de la longitud de la carga útil controlada por el atacante y, cuando la bandera PADDED estaba presente, decrementó el tamaño del fragmento antes de asegurar que la trama contenía el byte obligatorio de longitud del relleno. Una trama DATA acolchada de longitud cero podía, por tanto, provocar un desbordamiento del tamaño del fragmento sin signo y leer el byte de longitud del relleno más allá del final del búfer de la trama.\\n\\nEscenarios afectados:\\nLos servidores Apache bRPC que aceptan tráfico HTTP/2 se ven afectados cuando un cliente remoto puede enviar tramas HTTP/2 diseñadas al servidor. HTTP/2 puede alcanzarse mediante detección en texto claro h2c en un puerto HTTP o mediante negociación TLS ALPN.\\n\\nCómo corregir:\\n(Elija una de las siguientes opciones)\\n1. Actualice Apache bRPC a la versión 1.18.0, que corrige este problema.\\n2. Aplique este parche: https://github.com/apache/brpc/pull/3325\\n\\nNota:\\nLa corrección valida que una trama DATA acolchada tenga suficientes bytes de carga útil para el campo de longitud del relleno antes de decrementar el tamaño del fragmento o leer el byte de longitud del relleno. Las tramas DATA acolchadas malformadas de longitud cero se rechazan con HTTP/2 FRAME_SIZE_ERROR."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache bRPC",
          "defaultStatus": "unaffected",
          "collectionURL": "https://github.com",
          "packageName": "apache/brpc",
          "packageURL": "pkg:github/apache/brpc",
          "versions": [
            {
              "version": "0",
              "lessThan": "1.18.0",
              "versionType": "semver",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "baseScore": 7.5,
          "baseSeverity": "HIGH",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "NONE",
          "integrityImpact": "NONE",
          "availabilityImpact": "HIGH"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 3.6
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-10-21T13:07:50.344384Z",
          "id": "CVE-2026-56386",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-125"
        },
        {
          "lang": "en",
          "value": "CWE-191"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb",
      "source": "[email protected]"
    }
  ]
}