CVE-2026-33186

Резюме

gRPC-Go — это реализация gRPC на языке Go. В версиях до 1.79.3 существует обход авторизации, возникающий из-за некорректной проверки входных данных HTTP/2 псевдозаголовка `:path`. Сервер gRPC-Go был слишком снисходителен в своей логике маршрутизации, принимая запросы, где в `:path` отсутствовал обязательный ведущий слэш (например, `Service/Method` вместо `/Service/Method`). Хотя сервер успешно маршрутизировал такие запросы к правильному обработчику, авторизационные перехватчики (включая официальный пакет `grpc/authz`) оценивали исходную, неканоническую строку пути. В результате правила «deny», определённые с использованием канонических путей (начинающихся с `/`), не срабатывали для входящего запроса, что позволяло обойти политику при наличии резервного правила «allow». Это затрагивает серверы gRPC-Go, которые используют перехватчики авторизации на основе пути, такие как официальная реализация RBAC в `google.golang.org/grpc/authz` или пользовательские перехватчики, полагающиеся на `info.FullMethod` или `grpc.Method(ctx)`; И у которых политика безопасности содержит конкретные правила «deny» для канонических путей, но по умолчанию разрешает другие запросы (резервное правило «allow»). Уязвимость может быть использована злоумышленником, способным отправлять необработанные HTTP/2 кадры с некорректными заголовками `:path` напрямую на сервер gRPC. Исправление в версии 1.79.3 гарантирует, что любой запрос с `:path`, не начинающимся с ведущего слэша, немедленно отклоняется с ошибкой `codes.Unimplemented`, что предотвращает его попадание к авторизационным перехватчикам или обработчикам с неканонической строкой пути. Хотя обновление является наиболее безопасным и рекомендуемым путём, пользователи могут смягчить уязвимость одним из следующих способов: использование проверяющего перехватчика (рекомендуемое смягчение); нормализация на уровне инфраструктуры; и/или ужесточение политики.

• CVE-2026-33186PoC