Uma vulnerabilidade crítica de segurança foi descoberta no Apache bRPC que permite que invasores travem serviços remotamente por meio de ataques de negação de serviço baseados em rede.
A vulnerabilidade, designada como CVE-2025-54472, afeta todas as versões do Apache bRPC anteriores à 1.14.1 e decorre do tratamento inadequado de alocação de memória no componente analisador de protocolo Redis.
Detalhes e impacto da vulnerabilidade
A vulnerabilidade recém-divulgada se concentra na alocação ilimitada de memória no analisador de protocolo Redis do Apache bRPC, criando um risco de segurança significativo para as organizações que utilizam essa estrutura RPC de alto desempenho.
Pesquisador de segurança Tyler Zars descoberto e relatou essa falha, que foi classificada com gravidade “importante” pela equipe de segurança do Apache.
A vulnerabilidade afeta as implantações em todas as plataformas em que o Apache bRPC é implementado, tornando-se uma preocupação generalizada para a comunidade de código aberto.
| Campo | Detalhes |
| CVE ID | CVE-2025-54472 |
| Título | Apache bRPC: Negação de serviço remota do Redis Parser |
| Severidade | Importante |
| Versões afetadas | Apache bRPC anterior à versão 1.14.1 |
| Vetor de ataque | Rede |
| Impacto | Negação de serviço |
A questão fundamental está em como o analisador do protocolo bRPC Redis processa os dados da rede. Ao analisar mensagens do protocolo Redis, o sistema aloca memória para arrays ou strings com base em valores inteiros recebidos diretamente de rede Comunicações.
Agentes mal-intencionados podem explorar esse comportamento criando pacotes de dados especialmente projetados contendo valores inteiros extremamente grandes, forçando o sistema a tentar alocações massivas de memória que resultam em erros de alocação incorretos e falhas de serviço.
A base técnica da vulnerabilidade revela um padrão preocupante nas práticas de validação de entrada. O analisador bRPC Redis lê valores inteiros do tráfego de rede de entrada e usa esses valores para determinar os tamanhos de alocação de memória sem implementar a verificação de limites adequada.
Quando os invasores transmitem pacotes contendo inteiros superdimensionados, o analisador tenta alocar quantidades correspondentes de memória, levando ao esgotamento de recursos do sistema e ao encerramento do serviço.
Particularmente preocupante é a descoberta de que o Apache bRPC versão 1.14.0, que pretendia resolver esse problema por meio de limitações de alocação de memória, permanece vulnerável devido a falhas de implementação.
O código de verificação de limitação contém vulnerabilidades a ataques de estouro de número inteiro, permitindo que invasores sofisticados ignorem as proteções pretendidas.
Isso significa que mesmo as organizações que atualizaram para a versão 1.14.0 acreditando ter resolvido o problema de segurança permanecem em risco, embora os intervalos inteiros específicos que acionam a vulnerabilidade sejam diferentes entre a versão 1.14.0 e as versões anteriores.
As organizações enfrentam exposição em dois cenários principais: ao implantar o bRPC como um servidor Redis que fornece serviços de rede para clientes não confiáveis ou ao usar o bRPC como um cliente Redis que se conecta a serviços Redis potencialmente comprometidos.
Os desenvolvedores do Apache lançaram duas abordagens de correção para as organizações afetadas. A principal recomendação envolve a atualização para Apache bRPC versão 1.14.1, que implementa a verificação de limites adequada e resolve as vulnerabilidades de alocação de memória subjacentes.
Como alternativa, as organizações podem aplicar manualmente o patch de segurança disponível por meio da solicitação de pull #3050 do GitHub.
A correção implementada estabelece um limite máximo de alocação de memória padrão de 64 MB por operação no analisador do Redis.
As organizações que processam solicitações ou respostas do Redis que excedem esse limite devem modificar o sinalizador redis_max_allocation_size para acomodar seus requisitos específicos, mantendo as proteções de segurança.
Ache esta notícia interessante! Siga-nos noGoogle Notícias,LinkedIneXpara obter atualizações instantâneas!