Chronologiczny przegląd publikacji. Ostatnie modyfikacje są w osobnym widoku.
Data publikacji: ostatnie 7 dni. Starsze wpisy dostępne w pełnym katalogu i widoku KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Unbounded memory accumulation in the stream message reassembly path of Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to exhaust the memory of a server (denial of service) by sending an endless sequence of continuation data frames.
Root Cause:
The streaming RPC protocol…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled resource consumption in the streaming RPC component of Apache bRPC (version < 1.18.0) allows a remote attacker to exhaust server memory and cause denial of service by sending a single RPC request that declares an excessive number of streams.
Root Cause:
In the streaming RPC feature,…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
A reachable-assertion flaw in the HPACK header-compression decoder of the HTTP/2 (h2/gRPC) stack in Apache bRPC (version < 1.18.0) on all platforms allows a remote attacker to crash the server process by sending a crafted sequence of HPACK headers, resulting in a denial of service.
Root Cause:
In…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled resource consumption in the HTTP/2 (h2) receive path of Apache bRPC (version < 1.18.0) on all platforms allows a remote unauthenticated attacker to crash the server or grow its memory without bound by sending crafted HTTP/2 frames.
Root Cause:
The h2 parser, enabled by default on…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Resource exhaustion in Apache bRPC (version < 1.18.0) on all platforms: multiple parsers that accept wire-controlled input bound no limit on the sizes declared by the client or on decompressed output, which attackers can use to drive disproportionate memory use and crash the process.
Root…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Missing authentication in the streaming RPC path of Apache bRPC (version < 1.18.0) on all platforms allows a remote attacker to bypass server authentication and inject or deliver streaming frames, when a server is configured with an Authenticator.
Root Cause:
When authentication is configured,…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
An out-of-bounds read vulnerability exists in the streaming RPC client of Apache bRPC (versions 1.11.0 through 1.17.0) on all platforms. A client that creates multiple streams in a single RPC expects the server response to carry exactly one extra_stream_id for every additional stream. The…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Missing authentication for critical function vulnerability in Apache IoTDB.
This issue affects Apache IoTDB: from 2.0.0 before 2.0.11.
Users are recommended to upgrade to version 2.0.11, which fixes the issue.
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Apache bRPC versions before 1.18.0 do not consistently enforce the configured max_body_size limit in non-progressive HTTP/1 and HTTP/2 parsing and in memcache and couchbase response parsing.
A remote unauthenticated peer can cause an affected process to buffer message data beyond the configured…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Out-of-bounds reads in URL parsing and case-insensitive header lookup in Apache bRPC before version 1.18.0 on platforms where plain char is unsigned, such as ARM64, allow remote attackers to cause a process crash and denial of service by sending crafted input containing bytes with the high bit…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Apache bRPC versions before 1.18.0 validate the server certificate chain when client TLS peer verification is enabled, but do not bind the certificate to an expected DNS name or IP address. A network attacker who can redirect or intercept a connection and who possesses a certificate issued by a CA…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
An integer underflow in the mcpack2pb component of Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to crash a bRPC server by sending a request containing a string field with a zero value_size. The UnparsedValue::as_string() function computes `_size - 1` without validating…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled resource allocation in the mcpack2pb component in Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to make the server allocate a large amount of memory via sending a crafted mcpack request with a huge array item count.
Root Cause:
The bRPC mcpack2pb parser…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
A heap use-after-free in the RTMP protocol component of Apache bRPC (versions < 1.18.0) allows a remote attacker to crash a bRPC RTMP server by sending a crafted Abort control message. No authentication or application-level request is required.
Root Cause:
When an RTMP Abort control message names…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled recursion in the HTTP/2 HPACK decoder in Apache bRPC before 1.18.0 allows remote attackers to cause denial of service by sending a crafted HTTP/2 header block containing many consecutive Dynamic Table Size Update entries. Each update was decoded by recursively invoking the HPACK…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled recursion in the Redis reply parser in Apache bRPC < 1.18.0 allows a remote Redis server peer to crash a bRPC Redis client process by returning a deeply nested RESP array reply. The parser recursed once for each nested array level without enforcing a depth limit. The fix adds a…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled recursion in the AMF parser in Apache bRPC < 1.18.0 allows a remote RTMP peer to crash a bRPC process by sending deeply nested AMF objects or arrays. The parser recursively processed nested AMF containers without enforcing a depth limit, which could exhaust the native stack.
Affected…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The RTMP AMF parser in Apache bRPC accepts AMF string lengths and array counts directly from untrusted input. A remote unauthenticated attacker who can reach a bRPC server with RTMP enabled can send a small AMF payload with an excessive declared long string length or array count, causing excessive…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The Redis server command parser in Apache bRPC accepts an empty RESP array as a command header. A remote unauthenticated attacker who can reach a bRPC server with Redis service enabled can send an empty array header followed by a bulk string, causing an out-of-bounds write in the parser and…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The Redis protocol implementation in Apache bRPC allowed inline command parsing to allocate and copy the full connection buffer before a complete CRLF-terminated command was available. A remote attacker with access to a Redis-protocol bRPC service could send long inline inputs without a…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The Legacy Pipe receiver protocol (handshake / sendPipeData) uses a
hardcoded SUPER_USER (root) identity when executing data loading and
deletion operations. A user with only SYSTEM-level privileges (such as
USE_PIPE or MAINTAIN) who does NOT have WRITE_DATA or DELETE_DATA
permissions on target…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Improper authentication in Apache bRPC through 1.17.0 allows a remote unauthenticated attacker to bypass authentication for protected non-builtin HTTP endpoints by first sending a builtin HTTP request on the same HTTP/1.1 keep-alive connection.
When ServerOptions.auth is enabled and builtin HTTP…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled Resource Consumption vulnerability in Apache IoTDB JDBC driver.
This issue affects Apache IoTDB JDBC driver: from 1.3.3 before 2.0.11.
Users are recommended to upgrade to version 2.0.11, which fixes the issue.
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
An authentication bypass vulnerability exists in Apache IoTDB's Thrift RPC service
This issue affects Apache IoTDB: from 2.0.0 before 2.0.11.
Users are recommended to upgrade to version 2.0.11, which fixes the issue.
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when…
Opis źródłowy NVD · ENOcena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
CVSS
Nieustalone
EPSS
0,15 %
Poprawka
Status poprawki nieustalony
Publikacja
Aktualizacja NVD
Podatności: opis, rekomendacja, CVSS, EPSS i daty źródłowe. Rekomendacja nie potwierdza podatności własnego zasobu.
Unbounded memory accumulation in the stream message reassembly path of Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to exhaust the memory of a server (denial of service) by sending an endless sequence of continuation data frames.
Root Cause:
The streaming RPC protocol…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled resource consumption in the streaming RPC component of Apache bRPC (version < 1.18.0) allows a remote attacker to exhaust server memory and cause denial of service by sending a single RPC request that declares an excessive number of streams.
Root Cause:
In the streaming RPC feature,…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
A reachable-assertion flaw in the HPACK header-compression decoder of the HTTP/2 (h2/gRPC) stack in Apache bRPC (version < 1.18.0) on all platforms allows a remote attacker to crash the server process by sending a crafted sequence of HPACK headers, resulting in a denial of service.
Root Cause:
In…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled resource consumption in the HTTP/2 (h2) receive path of Apache bRPC (version < 1.18.0) on all platforms allows a remote unauthenticated attacker to crash the server or grow its memory without bound by sending crafted HTTP/2 frames.
Root Cause:
The h2 parser, enabled by default on…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Resource exhaustion in Apache bRPC (version < 1.18.0) on all platforms: multiple parsers that accept wire-controlled input bound no limit on the sizes declared by the client or on decompressed output, which attackers can use to drive disproportionate memory use and crash the process.
Root…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Missing authentication in the streaming RPC path of Apache bRPC (version < 1.18.0) on all platforms allows a remote attacker to bypass server authentication and inject or deliver streaming frames, when a server is configured with an Authenticator.
Root Cause:
When authentication is configured,…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
An out-of-bounds read vulnerability exists in the streaming RPC client of Apache bRPC (versions 1.11.0 through 1.17.0) on all platforms. A client that creates multiple streams in a single RPC expects the server response to carry exactly one extra_stream_id for every additional stream. The…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Missing authentication for critical function vulnerability in Apache IoTDB.
This issue affects Apache IoTDB: from 2.0.0 before 2.0.11.
Users are recommended to upgrade to version 2.0.11, which fixes the issue.
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Apache bRPC versions before 1.18.0 do not consistently enforce the configured max_body_size limit in non-progressive HTTP/1 and HTTP/2 parsing and in memcache and couchbase response parsing.
A remote unauthenticated peer can cause an affected process to buffer message data beyond the configured…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Out-of-bounds reads in URL parsing and case-insensitive header lookup in Apache bRPC before version 1.18.0 on platforms where plain char is unsigned, such as ARM64, allow remote attackers to cause a process crash and denial of service by sending crafted input containing bytes with the high bit…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Apache bRPC versions before 1.18.0 validate the server certificate chain when client TLS peer verification is enabled, but do not bind the certificate to an expected DNS name or IP address. A network attacker who can redirect or intercept a connection and who possesses a certificate issued by a CA…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
An integer underflow in the mcpack2pb component of Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to crash a bRPC server by sending a request containing a string field with a zero value_size. The UnparsedValue::as_string() function computes `_size - 1` without validating…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled resource allocation in the mcpack2pb component in Apache bRPC (version < 1.18.0) on all platforms allows remote attackers to make the server allocate a large amount of memory via sending a crafted mcpack request with a huge array item count.
Root Cause:
The bRPC mcpack2pb parser…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
A heap use-after-free in the RTMP protocol component of Apache bRPC (versions < 1.18.0) allows a remote attacker to crash a bRPC RTMP server by sending a crafted Abort control message. No authentication or application-level request is required.
Root Cause:
When an RTMP Abort control message names…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled recursion in the HTTP/2 HPACK decoder in Apache bRPC before 1.18.0 allows remote attackers to cause denial of service by sending a crafted HTTP/2 header block containing many consecutive Dynamic Table Size Update entries. Each update was decoded by recursively invoking the HPACK…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled recursion in the Redis reply parser in Apache bRPC < 1.18.0 allows a remote Redis server peer to crash a bRPC Redis client process by returning a deeply nested RESP array reply. The parser recursed once for each nested array level without enforcing a depth limit. The fix adds a…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled recursion in the AMF parser in Apache bRPC < 1.18.0 allows a remote RTMP peer to crash a bRPC process by sending deeply nested AMF objects or arrays. The parser recursively processed nested AMF containers without enforcing a depth limit, which could exhaust the native stack.
Affected…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The RTMP AMF parser in Apache bRPC accepts AMF string lengths and array counts directly from untrusted input. A remote unauthenticated attacker who can reach a bRPC server with RTMP enabled can send a small AMF payload with an excessive declared long string length or array count, causing excessive…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The Redis server command parser in Apache bRPC accepts an empty RESP array as a command header. A remote unauthenticated attacker who can reach a bRPC server with Redis service enabled can send an empty array header followed by a bulk string, causing an out-of-bounds write in the parser and…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The Redis protocol implementation in Apache bRPC allowed inline command parsing to allocate and copy the full connection buffer before a complete CRLF-terminated command was available. A remote attacker with access to a Redis-protocol bRPC service could send long inline inputs without a…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
The Legacy Pipe receiver protocol (handshake / sendPipeData) uses a
hardcoded SUPER_USER (root) identity when executing data loading and
deletion operations. A user with only SYSTEM-level privileges (such as
USE_PIPE or MAINTAIN) who does NOT have WRITE_DATA or DELETE_DATA
permissions on target…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Improper authentication in Apache bRPC through 1.17.0 allows a remote unauthenticated attacker to bypass authentication for protected non-builtin HTTP endpoints by first sending a builtin HTTP request on the same HTTP/1.1 keep-alive connection.
When ServerOptions.auth is enabled and builtin HTTP…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Uncontrolled Resource Consumption vulnerability in Apache IoTDB JDBC driver.
This issue affects Apache IoTDB JDBC driver: from 1.3.3 before 2.0.11.
Users are recommended to upgrade to version 2.0.11, which fixes the issue.
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
An authentication bypass vulnerability exists in Apache IoTDB's Thrift RPC service
This issue affects Apache IoTDB: from 2.0.0 before 2.0.11.
Users are recommended to upgrade to version 2.0.11, which fixes the issue.
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when…
Opis źródłowy NVD · EN
Do weryfikacji
Ocena niepełna · brak pełnych danych nie oznacza niskiego ryzyka
Nieustalone
0,15 %
Publikacja
Aktualizacja NVD
Źródła i pokrycie danych
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
NVD · publikacjeOpóźnione lub nieustalone
NVD · aktualizacjeOpóźnione lub nieustalone
CISA KEVOstatnie przetworzenie zakończone
FIRST EPSSOpóźnione lub nieustaloneData modelu znajduje się przy rekordzie.