home / blog
2026-11-02 · critica
CVE-2026-33186: bypass di autorizzazione in gRPC-Go
gRPC-Go: bypass autorizzazione con :path non canonico in HTTP/2. Critico, aggiornare a 1.79.3.
CVE-2026-33186 colpisce gRPC-Go <1.79.3 con bypass di autorizzazione da validazione insufficiente dello pseudo-header HTTP/2 :path. Il server accetta richieste dove :path omette lo slash iniziale (es. 'Service/Method' anziché '/Service/Method'), consentendo alle policy basate su path di essere ignorate. Interessa server gRPC-Go con interceptor di autorizzazione path-based, incluso il pacchetto ufficiale google.golang.org/grpc/authz.
La vulnerabilità ha un punteggio CVSS 9,1 ed è classificata come critical. L'attacco può essere condotto da un avversario capace di inviare frame HTTP/2 grezzi con header :path malformati direttamente al server gRPC. Sebbene non sia confermato uno sfruttamento attivo diffuso, il segnale GitHub di oggi (2026-11-02) documenta repository che dichiarano di contenere exploit verificati in laboratorio su configurazioni con patch e casi negativi, indicando una disponibilità pubblica di materiale dimostrativo.
L'azione primaria è aggiornare gRPC-Go a versione 1.79.3 o successiva, dove richieste con :path senza slash iniziale sono immediatamente rifiutate con codes.Unimplemented, prevenendo il raggiungimento degli interceptor di autorizzazione. In attesa di patch: implementare un interceptor di validazione (consigliato), normalizzazione infrastrutturale dello :path, e/o hardening della policy di autorizzazione per evitare regole 'allow' troppo permissive. Identificare quali applicazioni nel proprio ambiente dipendono da gRPC-Go con autorizzazione path-based.
In sintesi
- Cosa
- gRPC-Go server accetta richieste HTTP/2 con :path non canonico (senza slash iniziale), consentendo il bypass delle policy di autorizzazione basate su path
- Gravità
- CVSS 9,1 critical. Bypass diretto di controlli di autorizzazione in ambienti con policy specifiche
- Versioni interessate
- gRPC-Go versioni anteriori a 1.79.3
- Correzione
- Aggiornare a gRPC-Go 1.79.3 o successiva. Mitigazioni: interceptor di validazione (consigliato), normalizzazione infrastrutturale dello :path, hardening della policy di autorizzazione
- Stato
- Vulnerabilità pubblica (NVD 2026-03-20). Segnali GitHub di exploit pubblicamente disponibili verificati in laboratorio (2026-11-02)
- Azione
- Identificare ambienti gRPC-Go con authorization interceptor. Applicare patch 1.79.3. Verificare policy di autorizzazione basate su path
Fonti: NVD, CVE-2026-33186