CVE-2026-86147

{
  "id": "CVE-2026-86147",
  "sourceIdentifier": "[email protected]",
  "published": "2026-10-21T13:20:04.317",
  "lastModified": "2026-10-30T15:16:56.673",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "External control of file name or path and uncontrolled resource consumption in Apache bRPC (version < 1.18.0) on all platforms allows remote attackers who can reach the builtin service port to create directories and truncate/overwrite files with the privileges of the server process, or to hold the process-wide CPU/contention profiler for an arbitrarily long time.\n\nRoot Cause:\n1. The builtin /flags service allows gflags carrying a validator to be modified at runtime via ?setvalue=. The bvar/mbvar dump path gflags (bvar_dump_file, bvar_dump_tabs, mbvar_dump_file) were registered with an accept-anything validator whose only purpose was to wake the dumping thread. A remote attacker could therefore repoint the dump path (e.g. GET /flags/bvar_dump_file?setvalue=/victim/dir/target followed by GET /flags/bvar_dump?setvalue=true, or the equivalent for mbvar_dump_file, which is used verbatim without a forced suffix), making the dumping thread recursively create directories and open/truncate files at attacker-chosen locations. Tab names in bvar_dump_tabs were appended to the path without sanitization, allowing '..' to escape the configured directory.\n2. The /pprof builtin service did not clamp the ?seconds= parameter to FLAGS_max_profiling_seconds (a limit that /hotspots enforced). A single request such as ?seconds=2147483647 made the handler sleep for decades while holding the process-wide gperftools CPU profiler or bthread contention profiler, so /hotspots/cpu and /hotspots/contention returned 503 for everyone else during that time.\n\nAffected Scenarios:\nAny Apache bRPC server exposing the builtin services (enabled by default on the same port as normal RPC traffic) to untrusted networks.\n\nHow to Fix:\n(Choose one of the following options)\n1. Upgrade bRPC to version 1.18.0, which fixes this issue.\n2. Apply this patch:  https://github.com/apache/brpc/pull/3523 \n\nNote:\nAfter the fix, bvar_dump_file, bvar_dump_tabs and mbvar_dump_file can no longer be modified at runtime through the /flags builtin service. They can still be changed programmatically via google::SetCommandLineOption(), taking effect on the next dump cycle. The profiling duration of /pprof is now capped by the -max_profiling_seconds gflag (default 300 seconds), which can be adjusted by the server owner."
    },
    {
      "lang": "es",
      "value": "Control externo del nombre o ruta de archivo y consumo descontrolado de recursos en Apache bRPC (versiones anteriores a la 1.18.0) en todas las plataformas permite a atacantes remotos que pueden alcanzar el puerto del servicio integrado crear directorios y truncar/sobrescribir archivos con los privilegios del proceso del servidor, o mantener el perfilador de CPU/contención a nivel de proceso durante un tiempo arbitrariamente largo.\\n\\nCausa raíz:\\n1. El servicio integrado /flags permite que los gflags que llevan un validador sean modificados en tiempo de ejecución mediante ?setvalue=. Los gflags de ruta de volcado bvar/mbvar (bvar_dump_file, bvar_dump_tabs, mbvar_dump_file) estaban registrados con un validador que aceptaba cualquier valor y cuya única finalidad era activar el hilo de volcado. Un atacante remoto podía, por tanto, redirigir la ruta de volcado (por ejemplo GET /flags/bvar_dump_file?setvalue=/victim/dir/target seguido de GET /flags/bvar_dump?setvalue=true, o el equivalente para mbvar_dump_file, que se usa literalmente sin un sufijo forzado), haciendo que el hilo de volcado creara recursivamente directorios y abriera/truncara archivos en ubicaciones elegidas por el atacante. Los nombres de pestaña en bvar_dump_tabs se añadían a la ruta sin saneamiento, permitiendo que ’..’ escapara del directorio configurado.\\n2. El servicio integrado /pprof no limitaba el parámetro ?seconds= a FLAGS_max_profiling_seconds (un límite que sí aplicaba /hotspots). Una única solicitud como ?seconds=2147483647 hacía que el manejador durmiera durante décadas mientras mantenía el perfilador de CPU gperftools o el perfilador de contención bthread a nivel de proceso, por lo que /hotspots/cpu y /hotspots/contention devolvían 503 para todos los demás durante ese tiempo.\\n\\nEscenarios afectados:\\nCualquier servidor Apache bRPC que exponga los servicios integrados (habilitados por defecto en el mismo puerto que el tráfico RPC normal) a redes no confiables.\\n\\nCómo corregir:\\n(Elija una de las siguientes opciones)\\n1. Actualice bRPC a la versión 1.18.0, que corrige este problema.\\n2. Aplique este parche: https://github.com/apache/brpc/pull/3523\\n\\nNota:\\nDespués de la corrección, bvar_dump_file, bvar_dump_tabs y mbvar_dump_file ya no pueden modificarse en tiempo de ejecución a través del servicio integrado /flags. Todavía pueden cambiarse programáticamente mediante google::SetCommandLineOption(), tomando efecto en el siguiente ciclo de volcado. La duración del perfilado de /pprof ahora está limitada por la gflag -max_profiling_seconds (valor predeterminado 300 segundos), que puede ajustarse por el propietario del servidor."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache bRPC",
          "defaultStatus": "unaffected",
          "collectionURL": "https://github.com",
          "packageName": "apache/brpc",
          "packageURL": "pkg:github/apache/brpc",
          "versions": [
            {
              "version": "0",
              "lessThan": "1.18.0",
              "versionType": "semver",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "baseScore": 7.5,
          "baseSeverity": "HIGH",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "NONE",
          "integrityImpact": "NONE",
          "availabilityImpact": "HIGH"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 3.6
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-10-30T14:45:11.531197Z",
          "id": "CVE-2026-86147",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-73"
        },
        {
          "lang": "en",
          "value": "CWE-400"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb",
      "source": "[email protected]"
    }
  ]
}