Heimdall Security Logo

CVE-2026-48853

Vulnérabilité critique dans grpc (elixir-grpc)

CVSS 9.2 · Critique
EPSS 0.8%
elixir-grpc•grpc•Versions : <1.0.0, <272a97a5ea1b46af1819f14a831fcf35fc91f992, 25bcc569fe2cc4478531a6c546c923205fc751c9, 0.4.0

Description

Deserialization of Untrusted Data and Allocation of Resources Without Limits or Throttling vulnerabilities in elixir-grpc grpc allow unauthenticated attackers to crash the BEAM node via atom table exhaustion and, when a decoded term flows into a call site that invokes it, achieve remote code execution on the server. 'Elixir.GRPC.Codec.Erlpack':decode/2 (lib/grpc/codec/erlpack.ex) calls :erlang.binary_to_term/1 on the raw gRPC message body without the :safe option, no size bound, and no type guard. Any unauthenticated peer that sends a request with Content-Type: application/grpc+erlpack can send a crafted payload that mints arbitrary new atoms (which are never garbage-collected, exhausting the bounded atom table and crashing the VM) or that encodes a fun term which, if applied anywhere downstream, executes attacker-controlled code inside the server process. This issue affects grpc: from 0.4.0 before 1.0.0.

Gravité et risque d'exploitation

CVE-2026-48853 obtient un score CVSS de 9.2/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.78 %, ce qui la place devant 55.3 % des CVE référencées.

Que faire ?

  • Vérifiez si grpc (versions <1.0.0, <272a97a5ea1b46af1819f14a831fcf35fc91f992, 25bcc569fe2cc4478531a6c546c923205fc751c9, 0.4.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE