CVE-2026-86147

{"id": "CVE-2026-86147", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2026-86147", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "yes"}, {"technicalImpact": "partial"}], "version": "2.0.3", "timestamp": "2026-10-30T14:45:11.531197Z"}}], "cvssMetricV31": [{"type": "Secondary", "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssData": {"scope": "UNCHANGED", "version": "3.1", "baseScore": 7.5, "attackVector": "NETWORK", "baseSeverity": "HIGH", "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H", "integrityImpact": "NONE", "userInteraction": "NONE", "attackComplexity": "LOW", "availabilityImpact": "HIGH", "privilegesRequired": "NONE", "confidentialityImpact": "NONE"}, "impactScore": 3.6, "exploitabilityScore": 3.9}]}, "affected": [{"source": "security@apache.org", "affectedData": [{"vendor": "Apache Software Foundation", "product": "Apache bRPC", "versions": [{"status": "affected", "version": "0", "lessThan": "1.18.0", "versionType": "semver"}], "packageURL": "pkg:github/apache/brpc", "packageName": "apache/brpc", "collectionURL": "https://github.com", "defaultStatus": "unaffected"}]}], "published": "2026-10-21T13:20:04.317", "references": [{"url": "https://lists.apache.org/thread/2pf15ojj0vr7rtx95677kgtl1mx3gdgb", "source": "security@apache.org"}], "vulnStatus": "Deferred", "weaknesses": [{"type": "Secondary", "source": "security@apache.org", "description": [{"lang": "en", "value": "CWE-73"}, {"lang": "en", "value": "CWE-400"}]}], "descriptions": [{"lang": "en", "value": "External control of file name or path and uncontrolled resource consumption in Apache bRPC (version < 1.18.0) on all platforms allows remote attackers who can reach the builtin service port to create directories and truncate/overwrite files with the privileges of the server process, or to hold the process-wide CPU/contention profiler for an arbitrarily long time.\n\nRoot Cause:\n1. The builtin /flags service allows gflags carrying a validator to be modified at runtime via ?setvalue=. The bvar/mbvar dump path gflags (bvar_dump_file, bvar_dump_tabs, mbvar_dump_file) were registered with an accept-anything validator whose only purpose was to wake the dumping thread. A remote attacker could therefore repoint the dump path (e.g. GET /flags/bvar_dump_file?setvalue=/victim/dir/target followed by GET /flags/bvar_dump?setvalue=true, or the equivalent for mbvar_dump_file, which is used verbatim without a forced suffix), making the dumping thread recursively create directories and open/truncate files at attacker-chosen locations. Tab names in bvar_dump_tabs were appended to the path without sanitization, allowing '..' to escape the configured directory.\n2. The /pprof builtin service did not clamp the ?seconds= parameter to FLAGS_max_profiling_seconds (a limit that /hotspots enforced). A single request such as ?seconds=2147483647 made the handler sleep for decades while holding the process-wide gperftools CPU profiler or bthread contention profiler, so /hotspots/cpu and /hotspots/contention returned 503 for everyone else during that time.\n\nAffected Scenarios:\nAny Apache bRPC server exposing the builtin services (enabled by default on the same port as normal RPC traffic) to untrusted networks.\n\nHow to Fix:\n(Choose one of the following options)\n1. Upgrade bRPC to version 1.18.0, which fixes this issue.\n2. Apply this patch: https://github.com/apache/brpc/pull/3523 \n\nNote:\nAfter the fix, bvar_dump_file, bvar_dump_tabs and mbvar_dump_file can no longer be modified at runtime through the /flags builtin service. They can still be changed programmatically via google::SetCommandLineOption(), taking effect on the next dump cycle. The profiling duration of /pprof is now capped by the -max_profiling_seconds gflag (default 300 seconds), which can be adjusted by the server owner."}, {"lang": "es", "value": "Control externo del nombre o ruta de archivo y consumo descontrolado de recursos en Apache bRPC (versiones anteriores a la 1.18.0) en todas las plataformas permite a atacantes remotos que pueden alcanzar el puerto del servicio integrado crear directorios y truncar/sobrescribir archivos con los privilegios del proceso del servidor, o mantener el perfilador de CPU/contenci\u00f3n a nivel de proceso durante un tiempo arbitrariamente largo.\\n\\nCausa ra\u00edz:\\n1. El servicio integrado /flags permite que los gflags que llevan un validador sean modificados en tiempo de ejecuci\u00f3n mediante ?setvalue=. Los gflags de ruta de volcado bvar/mbvar (bvar_dump_file, bvar_dump_tabs, mbvar_dump_file) estaban registrados con un validador que aceptaba cualquier valor y cuya \u00fanica finalidad era activar el hilo de volcado. Un atacante remoto pod\u00eda, por tanto, redirigir la ruta de volcado (por ejemplo GET /flags/bvar_dump_file?setvalue=/victim/dir/target seguido de GET /flags/bvar_dump?setvalue=true, o el equivalente para mbvar_dump_file, que se usa literalmente sin un sufijo forzado), haciendo que el hilo de volcado creara recursivamente directorios y abriera/truncara archivos en ubicaciones elegidas por el atacante. Los nombres de pesta\u00f1a en bvar_dump_tabs se a\u00f1ad\u00edan a la ruta sin saneamiento, permitiendo que \u2019..\u2019 escapara del directorio configurado.\\n2. El servicio integrado /pprof no limitaba el par\u00e1metro ?seconds= a FLAGS_max_profiling_seconds (un l\u00edmite que s\u00ed aplicaba /hotspots). Una \u00fanica solicitud como ?seconds=2147483647 hac\u00eda que el manejador durmiera durante d\u00e9cadas mientras manten\u00eda el perfilador de CPU gperftools o el perfilador de contenci\u00f3n bthread a nivel de proceso, por lo que /hotspots/cpu y /hotspots/contention devolv\u00edan 503 para todos los dem\u00e1s durante ese tiempo.\\n\\nEscenarios afectados:\\nCualquier servidor Apache bRPC que exponga los servicios integrados (habilitados por defecto en el mismo puerto que el tr\u00e1fico RPC normal) a redes no confiables.\\n\\nC\u00f3mo corregir:\\n(Elija una de las siguientes opciones)\\n1. Actualice bRPC a la versi\u00f3n 1.18.0, que corrige este problema.\\n2. Aplique este parche: https://github.com/apache/brpc/pull/3523\\n\\nNota:\\nDespu\u00e9s de la correcci\u00f3n, bvar_dump_file, bvar_dump_tabs y mbvar_dump_file ya no pueden modificarse en tiempo de ejecuci\u00f3n a trav\u00e9s del servicio integrado /flags. Todav\u00eda pueden cambiarse program\u00e1ticamente mediante google::SetCommandLineOption(), tomando efecto en el siguiente ciclo de volcado. La duraci\u00f3n del perfilado de /pprof ahora est\u00e1 limitada por la gflag -max_profiling_seconds (valor predeterminado 300 segundos), que puede ajustarse por el propietario del servidor."}], "lastModified": "2026-10-30T15:16:56.673", "sourceIdentifier": "security@apache.org"}