CVE-2026-82230

{
  "id": "CVE-2026-82230",
  "sourceIdentifier": "[email protected]",
  "published": "2026-10-21T13:20:02.970",
  "lastModified": "2026-10-26T23:10:00.183",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Uncontrolled recursion in the mcpack2pb component in Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to make the server crash via sending deeply nested mcpack data.\n\nRoot Cause:\nThe bRPC mcpack2pb parser (used to serve nshead_mcpack / ubrpc / public_pbrpc requests) recursively parses nested objects and arrays without any depth limit. For a protobuf message that references itself (e.g. a repeated message field), the generated parser recurses once per nesting level of the incoming mcpack object. A deeply nested request makes the recursion grow unbounded, overflow the stack and crash the process.\n\nAffected Scenarios:\nUse bRPC server with a recursive-schema protobuf message to serve nshead_mcpack / ubrpc / public_pbrpc requests from untrusted network.\n\nHow to Fix:\n(Choose one of the following options)\n1. Upgrade bRPC to version 1.18.0, which fixes this issue.\n2. Apply this patch: https://github.com/apache/brpc/pull/3499\n\nNote:\nNo matter which option you choose, you should know that the fix enforces the documented parsing depth limit MAX_DEPTH (128) on the parse path, the same limit the serializer already applies. If your requests contain mcpack messages nested deeper than 128 levels, the request will be failed after applying the fix."
    },
    {
      "lang": "es",
      "value": "Recursión no controlada en el componente mcpack2pb de Apache bRPC (versiones anteriores a la 1.18.0) en todas las plataformas permite a atacantes remotos provocar la caída del servidor mediante el envío de datos mcpack profundamente anidados.\\n\\nCausa raíz:\\nEl analizador mcpack2pb de bRPC (utilizado para atender solicitudes nshead_mcpack / ubrpc / public_pbrpc) analiza recursivamente objetos y matrices anidados sin ningún límite de profundidad. Para un mensaje protobuf que se referencia a sí mismo (p. ej., un campo de mensaje repetido), el analizador generado recurre una vez por cada nivel de anidamiento del objeto mcpack entrante. Una solicitud profundamente anidada hace que la recursión crezca sin límite, desborde la pila y provoque la caída del proceso.\\n\\nEscenarios afectados:\\nUtilizar un servidor bRPC con un mensaje protobuf de esquema recursivo para atender solicitudes nshead_mcpack / ubrpc / public_pbrpc provenientes de una red no confiable.\\n\\nCómo corregir:\\n(Elija una de las siguientes opciones)\\n1. Actualice bRPC a la versión 1.18.0, que corrige este problema.\\n2. Aplique este parche: https://github.com/apache/brpc/pull/3499\\n\\nNota:\\nIndependientemente de la opción que elija, debe saber que la corrección impone el límite de profundidad de análisis documentado MAX_DEPTH (128) en la ruta de análisis, el mismo límite que ya aplica el serializador. Si sus solicitudes contienen mensajes mcpack anidados a más de 128 niveles, la solicitud fallará después de aplicar la corrección."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache bRPC",
          "defaultStatus": "unaffected",
          "collectionURL": "https://github.com",
          "packageName": "apache/brpc",
          "packageURL": "pkg:github/apache/brpc",
          "versions": [
            {
              "version": "0",
              "lessThan": "1.18.0",
              "versionType": "semver",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "baseScore": 7.5,
          "baseSeverity": "HIGH",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "NONE",
          "integrityImpact": "NONE",
          "availabilityImpact": "HIGH"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 3.6
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-10-21T15:11:11.863125Z",
          "id": "CVE-2026-82230",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-674"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb",
      "source": "[email protected]"
    }
  ]
}