Wysoka

Excessive Iteration in gRPC

Ujawniono: 09.08.2023
Aktualizacja: 11.10.2026 13:19

gRPC contains a vulnerability that allows hpack table accounting errors could lead to unwanted disconnects between clients and servers in exceptional cases/ Three vectors were found that allow the following DOS attacks:

Unbounded memory buffering in the HPACK parser
Unbounded CPU consumption in the HPACK parser

The unbounded CPU consumption is down to a copy that occurred per-input-block in the parser, and because that could be unbounded due to the memory copy bug we end up with an O(n^2) parsing loop, with n selected by the client.

The unbounded memory buffering bugs:

The header size limit check was behind the string reading code, so we needed to first buffer up to a 4 gigabyte string before rejecting it as longer than 8 or 16kb.
HPACK varints have an encoding quirk whereby an infinite number of 0’s can be added at the start of an integer. gRPC’s hpack parser needed to read all of them before concluding a parse.
gRPC’s metadata overflow check was performed per frame, so that the following sequence of frames could cause infinite buffering: HEADERS: containing a: 1 CONTINUATION: containing a: 2 CONTINUATION: containing a: 3 etc…

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	grpcio	< 1.53.2, >= 1.54.0, < 1.54.3, >= 1.55.0, < 1.55.2, >= 1.56.0, < 1.56.2	1.53.2, 1.54.3, 1.55.2, 1.56.2

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-770, CWE-789
Platforma: Python (PyPI)
Paczka: grpcio
Ujawniono: 09.08.2023
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1424 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-496j-2rq6-j6cc - CC BY 4.0

Historia podatności: grpcio

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 04.2017 09.2023
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 4
Średnia 1
Nieoceniona 1

Ujawnienia w latach

2017: 1
2018: 0
2019: 0
2020: 0
2021: 0
2022: 0
2023: 5
2024: 0
2025: 0
2026: 0

13.09.2023

Denial of Service Vulnerability in gRPC TCP Server (Posix-compatible platforms)

Wysoka · 7.5 CVE-2023-4785 >= 1.55.0, < 1.55.3, >= 1.54.0, < 1.54.3, >= 1.53.0, < 1.53.2 1.55.3, 1.54.3, 1.53.2
09.08.2023

Excessive Iteration in gRPC ten wpis

Wysoka · 7.5 CVE-2023-33953 < 1.53.2, >= 1.54.0, < 1.54.3, >= 1.55.0, < 1.55.2, >= 1.56.0, < 1.56.2 1.53.2, 1.54.3, 1.55.2, 1.56.2
06.07.2023

gRPC connection termination issue

Średnia · 5.3 CVE-2023-32732 >= 1.53.0, < 1.53.1, >= 1.54.0, < 1.54.2 1.53.1, 1.54.2
06.07.2023

gRPC Reachable Assertion issue

Wysoka · 7.5 CVE-2023-1428 >= 1.51.0, < 1.53.0 1.53.0
05.07.2023

Connection confusion in gRPC

Wysoka · 7.4 CVE-2023-32731 >= 1.53.0, < 1.53.1, >= 1.54.0, < 1.54.2 1.53.1, 1.54.2
30.04.2017

Google gRPC before 2017-03-29 has an out-of-bounds write caused by a heap-based use-after-free related to the grpc_call_destroy function in core/lib/surface/call.c.

Nieoceniona CVE-2017-8359 < 1.3.0 1.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację