p PatchFirst

CVE-2026-48853

CVE-2026-48853 · Remote code execution and denial of service via unsafe Erlang term deserialization in elixir-grpc/grpc

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Deserialization of Untrusted Data and Allocation of Resources Without Limits or Throttling vulnerabilities in elixir-grpc grpc allow unauthenticated attackers to crash the BEAM node via atom table exhaustion and, when a decoded term flows into a call site that invokes it, achieve remote code execution on the server. 'Elixir.GRPC.Codec.Erlpack':decode/2 (lib/grpc/codec/erlpack.ex) calls :erlang.binary_to_term/1 on the raw gRPC message body without the :safe option, no size bound, and no type guard. Any unauthenticated peer that sends a request with Content-Type: application/grpc+erlpack can send a crafted payload that mints arbitrary new atoms (which are never garbage-collected, exhausting the bounded atom table and crashing the VM) or that encodes a fun term which, if applied anywhere downstream, executes attacker-controlled code inside the server process. This issue affects grpc: from 0.4.0 before 1.0.0.

CVSS 9.2 · Crítica · EPSS 0,8% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • grpc

    Versiones
    • ≥ 0.4.0, < 1.0.0: Afectada (semver)

    Actualiza a 1.0.0

  • grpc

    Versiones
    • ≥ 25bcc569fe2cc4478531a6c546c923205fc751c9, < 272a97a5ea1b46af1819f14a831fcf35fc91f992: Afectada (git)

    Sin corrección publicada

  • grpc Ubuntu:16.04:LTS

    Versiones
    • 0.10.2-1
    • 0.11.1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:18.04:LTS

    Versiones
    • 1.3.2-1
    • 1.3.2-1ubuntu1
    • 1.3.2-1.1~build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:20.04:LTS

    Versiones
    • 1.16.1-1
    • 1.16.1-1ubuntu1
    • 1.16.1-1ubuntu3
    • 1.16.1-1ubuntu4
    • 1.16.1-1ubuntu5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:22.04:LTS

    Versiones
    • 1.30.2-3
    • 1.30.2-3build1
    • 1.30.2-3build3
    • 1.30.2-3build5
    • 1.30.2-3build6
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:24.04:LTS

    Versiones
    • 1.51.1-3build3
    • 1.51.1-3build4
    • 1.51.1-4
    • 1.51.1-4build1
    • 1.51.1-4build2
    • 1.51.1-4.1build3
    • 1.51.1-4.1build4
    • 1.51.1-4.1build5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:25.10

    Versiones
    • 1.51.1-6
    • 1.51.1-6build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:26.10

    Versiones
    • 1.51.1-8ubuntu1
    • 1.51.1-9
    • 1.51.1-9ubuntu3
    • 1.51.1-10ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • grpc Ubuntu:26.04:LTS

    Versiones
    • 1.51.1-6build1
    • 1.51.1-7
    • 1.51.1-7ubuntu2
    • 1.51.1-7ubuntu3
    • 1.51.1-8ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →