CVE-2026-79704

{
  "id": "CVE-2026-79704",
  "sourceIdentifier": "[email protected]",
  "published": "2026-10-21T12:17:23.787",
  "lastModified": "2026-10-26T20:10:00.160",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "An out-of-bounds read vulnerability exists in the streaming RPC client of Apache bRPC (versions 1.11.0 through  1.17.0) on all platforms. A client that creates multiple streams in a single RPC expects the server response to carry exactly one extra_stream_id for every additional stream. The response handling path indexed the returned identifiers using the locally created stream count without first validating the size of the returned list, so a malicious or compromised server (or an on-path attacker) can trigger an out-of-bounds read in the client by returning a malformed StreamSettings response with fewer extra_stream_ids than expected. This may crash the client process (denial of service) or leak unintended memory contents into subsequent stream handling; surplus identifiers have no valid client-stream mapping and are processed inconsistently.\n\nRoot Cause:\nSince bRPC 1.11.0, a client can create multiple streams in one RPC via batch StreamCreate. The expected behavior is that the server response must return exactly (N-1) extra_stream_ids, where N is the number of locally created streams. In Controller::HandleStreamConnection, the response path reads extra_stream_ids[i-1] for each additional local stream without first comparing the returned list size with (N-1). If the server returns fewer identifiers, the read runs past the end of the returned list (out-of-bounds read); if it returns more, the surplus identifiers have no corresponding client-side stream.\n\nAffected Scenarios:\nA bRPC client using multi-stream RPC (creating more than one stream in a single RPC) that connects to an untrusted, malicious, or compromised server or to a server reached through an untrusted network path. The server sends a malformed StreamSettings response to trigger the issue.\n\n\nHow to Fix: \n(Choose one of the following options) \n1. Upgrade bRPC to version 1.18.0, which fixes this issue.\n2. Apply this patch:  https://github.com/apache/brpc/pull/3485 \n\n\nNote:\nThe fix makes the client reject responses whose extra_stream_ids count does not exactly match the number of additional client streams. Such mismatched responses now fail the RPC with ERESPONSE and go through the existing stream cleanup path, instead of being partially processed."
    },
    {
      "lang": "es",
      "value": "Existe una vulnerabilidad de lectura fuera de los límites en el cliente RPC de transmisión de Apache bRPC (desde la versión 1.11.0 hasta la versión 1.17.0 inclusive) en todas las plataformas. Un cliente que crea múltiples flujos en una única llamada RPC espera que la respuesta del servidor incluya exactamente un extra_stream_id por cada flujo adicional. La ruta de manejo de la respuesta indexa los identificadores devueltos usando el recuento de flujos creados localmente sin validar primero el tamaño de la lista devuelta, de modo que un servidor malicioso o comprometido (o un atacante en la ruta) puede provocar una lectura fuera de los límites en el cliente al devolver una respuesta StreamSettings malformada con menos extra_stream_ids de los esperados. Esto puede bloquear el proceso del cliente (denegación de servicio) o filtrar contenido de memoria no intencionado en el manejo de flujos subsiguientes; los identificadores sobrantes no tienen una asignación válida a un flujo del cliente y se procesan de forma inconsistente.\\n\\nCausa raíz:\\nDesde bRPC 1.11.0, un cliente puede crear múltiples flujos en una única RPC mediante StreamCreate por lotes. El comportamiento esperado es que la respuesta del servidor devuelva exactamente (N?1) extra_stream_ids, donde N es el número de flujos creados localmente. En Controller::HandleStreamConnection, la ruta de respuesta lee extra_stream_ids[i?1] para cada flujo local adicional sin comparar primero el tamaño de la lista devuelta con (N?1). Si el servidor devuelve menos identificadores, la lectura avanza más allá del final de la lista (lectura fuera de los límites); si devuelve más, los identificadores sobrantes no tienen un flujo correspondiente del lado del cliente.\\n\\nEscenarios afectados:\\nUn cliente bRPC que utiliza RPC de multifujo (creando más de un flujo en una única RPC) y se conecta a un servidor no confiable, malicioso o comprometido, o a un servidor al que se accede a través de una ruta de red no confiable. El servidor envía una respuesta StreamSettings malformada para desencadenar el problema.\\n\\nCómo corregir:\\n(Elija una de las siguientes opciones)\\n1. Actualizar bRPC a la versión 1.18.0, que corrige este problema.\\n2. Aplicar este parche: https://github.com/apache/brpc/pull/3485\\n\\nNota:\\nLa corrección hace que el cliente rechace respuestas cuyo recuento de extra_stream_ids no coincida exactamente con el número de flujos adicionales del cliente. Estas respuestas incompatibles ahora fallan la RPC con ERESPONSE y siguen la ruta de limpieza de flujos existente, en lugar de procesarse parcialmente."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache bRPC",
          "defaultStatus": "unaffected",
          "collectionURL": "https://github.com",
          "packageName": "apache/brpc",
          "packageURL": "pkg:github/apache/brpc",
          "versions": [
            {
              "version": "1.11.0",
              "lessThan": "1.18.0",
              "versionType": "semver",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {},
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Primary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-125"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb",
      "source": "[email protected]"
    }
  ]
}