CVE-2023-32731
CVE-2023-32731 · Information leak in gRPC
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
When gRPC HTTP2 stack raised a header size exceeded error, it skipped parsing the rest of the HPACK frame. This caused any HPACK table mutations to also be skipped, resulting in a desynchronization of HPACK tables between sender and receiver. If leveraged, say, between a proxy and a backend, this could lead to requests from the proxy being interpreted as containing headers from different proxy clients - leading to an information leak that can be used for privilege escalation or data exfiltration. We recommend upgrading beyond the commit contained in https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005
CVSS 7.4 · Hoch · EPSS 0,5% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · python
Betroffene Produkte und Versionen
grpc
- Softwareversionen
- ≥ 1.53, ≤ 1.54: Betroffen (custom)
Keine Korrektur veröffentlicht
io.grpc:grpc-protobuf Maven
- Softwareversionen
- 1.53.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.53.0, < 1.53.1
Auf 1.53.1 aktualisieren
grpcio PyPI
- Softwareversionen
- 1.53.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.53.0, < 1.53.1
Auf 1.53.1 aktualisieren
grpc RubyGems
- Softwareversionen
- 1.53.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.53.0, < 1.53.1
Auf 1.53.1 aktualisieren
grpcio PyPI
- Softwareversionen
- 1.54.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.54.0, < 1.54.2
Auf 1.54.2 aktualisieren
grpc RubyGems
- Softwareversionen
- 1.54.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.54.0, < 1.54.2
Auf 1.54.2 aktualisieren
io.grpc:grpc-protobuf Maven
- Softwareversionen
- 1.54.0
- 1.54.1
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.54.0, < 1.54.2
Auf 1.54.2 aktualisieren
grpcio PyPI
- Softwareversionen
- 1.53.0
- 1.54.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 1.53.0, < 1.53.1 ∪ ≥ 1.54.0, < 1.54.2
Auf 1.53.1 aktualisieren; Auf 1.54.2 aktualisieren
grpc Ubuntu:16.04:LTS
- Softwareversionen
- 0.10.2-1
- 0.11.1-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:18.04:LTS
- Softwareversionen
- 1.3.2-1
- 1.3.2-1ubuntu1
- 1.3.2-1.1~build1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:20.04:LTS
- Softwareversionen
- 1.16.1-1
- 1.16.1-1ubuntu1
- 1.16.1-1ubuntu3
- 1.16.1-1ubuntu4
- 1.16.1-1ubuntu5
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:22.04:LTS
- Softwareversionen
- 1.30.2-3
- 1.30.2-3build1
- 1.30.2-3build3
- 1.30.2-3build5
- 1.30.2-3build6
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:24.04:LTS
- Softwareversionen
- 1.51.1-3build3
- 1.51.1-3build4
- 1.51.1-4
- 1.51.1-4build1
- 1.51.1-4build2
- 1.51.1-4.1build3
- 1.51.1-4.1build4
- 1.51.1-4.1build5
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:25.10
- Softwareversionen
- 1.51.1-6
- 1.51.1-6build1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:26.10
- Softwareversionen
- 1.51.1-8ubuntu1
- 1.51.1-9
- 1.51.1-9ubuntu3
- 1.51.1-10ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
grpc Ubuntu:26.04:LTS
- Softwareversionen
- 1.51.1-6build1
- 1.51.1-7
- 1.51.1-7ubuntu2
- 1.51.1-7ubuntu3
- 1.51.1-8ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht