CVE-2026-21020 – प्रोटोबफ़ संदेश पार्सिंग बहुरूपी डिसीरियलाइज़ेशन भेद्यता

प्रोग्राम कोड (Python के साथ protobuf)

# proto_vuln.py - Insecure handling of Any type
import addressbook_pb2  # Example protobuf

# Simulated deserialization that trusts an injected type_url
from google.protobuf import any_pb2

any_msg = any_pb2.Any()
any_msg.type_url = "type.googleapis.com/attacker.Evil"
any_msg.value = b'\x0a\x05admin'  # serialized payload

# Application unpacks to expected type but could instantiate arbitrary class if using dynamic loading
if any_msg.Is(addressbook_pb2.Person.DESCRIPTOR):
    person = addressbook_pb2.Person()
    any_msg.Unpack(person)
    print("Person unpacked, but type_url was spoofed!")

CVE-2026-21020 – Any के माध्यम से Protobuf बहुरूपी डिसीरियलाइज़ेशन

अवलोकन

एक सेवा संदेशों को एनकैप्सुलेट करने के लिए Protocol Buffers के Any प्रकार का उपयोग करती है और अपेक्षित प्रकार को मान्य किए बिना type_url फ़ील्ड का उपयोग करके उन्हें गतिशील रूप से अनपैक करती है। एक हमलावर एक निर्मित type_url के साथ एक संदेश भेज सकता है जो किसी खतरनाक संदेश वर्ग (या अनपेक्षित वर्ग) की ओर इशारा करता है, जिससे लॉजिक बग या कोड निष्पादन हो सकता है।

भेद्यता विवरण

• प्रकार: अविश्वसनीय डेटा का डिसीरियलाइज़ेशन / टाइप कन्फ्यूज़न
• प्रभाव: संभावित RCE या विशेषाधिकार वृद्धि।
• मूल कारण: सर्वर व्हाइटलिस्टिंग के बिना हमलावर-नियंत्रित type_url के आधार पर पेलोड को डिसीरियलाइज़ करता है।

एक्सप्लॉइट प्रदर्शन

सिमुलेशन चलाएँ:

pip install protobuf
python proto_vuln.py

यह दर्शाता है कि Any प्रकार को स्पूफ किया जा सकता है; यदि कोड type_url से क्लास को गतिशील रूप से लोड करता है, तो यह RCE की ओर ले जा सकता है।