Drie kwetsbaarheden in @grpc/grpc-js: authenticatie-omzeiling, informatielekkage en fout in RBAC-matching

Wat is er gebeurd

Er zijn drie afzonderlijke kwetsbaarheden gepubliceerd in @grpc/grpc-js en het gerelateerde pakket @grpc/grpc-js-xds. CVE-2026-101916 betreft de functie getAuthContext, die geen onderscheid maakt tussen geautoriseerde en niet-geautoriseerde peer-certificaten wanneer serveridentiteitsgegevens requireClientCertificate op false hebben staan; applicaties die vertrouwen op de teruggegeven authenticatiecontext kunnen een niet-geautoriseerd certificaat ten onrechte als geautoriseerd behandelen. CVE-2026-101915 betreft het feit dat de server niet-afgevangen foutmeldingen van methode-handlers opneemt in het statusbericht dat naar de client wordt gestuurd, wat gevoelige informatie kan blootstellen als de opgeworpen fout dergelijke gegevens bevat. CVE-2026-101914 raakt de exacte-pad-matcher van RBAC, die bij hoofdletterongevoelige matching een prefixvergelijking uitvoert in plaats van een gelijkheidsvergelijking; als de ene methodenaam een voorvoegsel is van een andere en beide verschillende toegangsregels hebben, kan een verzoek aan de langere methodenaam ten onrechte de regel van de kortere methode toegepast krijgen.

Technische oorzaak

CVE-2026-101916 (CWE-295, onjuiste certificaatvalidatie) ontstaat doordat getAuthContext geen onderscheid maakt tussen geautoriseerde en niet-geautoriseerde peer-certificaten in configuraties waarbij requireClientCertificate op false staat; @grpc/grpc-js-xds kan deze situatie bereiken wanneer RBAC-authenticatie is ingeschakeld. CVE-2026-101915 (CWE-550, door de server gegenereerde foutmelding met gevoelige informatie) ontstaat doordat de foutmelding van niet-afgevangen fouten uit methode-handlers van de applicatie wordt doorgestuurd naar de client in het gRPC-statusbericht. CVE-2026-101914 (CWE-187, gedeeltelijke stringvergelijking) wordt veroorzaakt doordat de exacte-pad-matcher van RBAC een prefixvergelijking gebruikt in plaats van strikte gelijkheid wanneer hoofdletterongevoelige matching is ingeschakeld.

Waarom dit belangrijk is

Deze kwetsbaarheden raken direct de authenticatie- en autorisatielogica. CVE-2026-101916 kan ertoe leiden dat applicaties een peer-certificaat ten onrechte als geautoriseerd vertrouwen, wat vooral relevant is wanneer @grpc/grpc-js-xds wordt gebruikt met RBAC-authenticatie ingeschakeld. CVE-2026-101914 kan ertoe leiden dat RBAC-autorisatiecontroles de verkeerde toegangsregel toepassen op een verzoek, waardoor mogelijk toegang wordt verleend die eigenlijk beperkt had moeten zijn. CVE-2026-101915 is een kwetsbaarheid met lagere ernst die gevoelige informatie uit onafgehandelde foutmeldingen kan lekken naar clients.

Wie wordt getroffen

Applicaties die @grpc/grpc-js gebruiken worden getroffen door CVE-2026-101916 en CVE-2026-101915. Applicaties die @grpc/grpc-js-xds gebruiken, met name met RBAC-authenticatie ingeschakeld, worden getroffen door CVE-2026-101914 en kunnen ook de situatie uit CVE-2026-101916 bereiken.

Getroffen versies

Voor CVE-2026-101916 en CVE-2026-101915: @grpc/grpc-js-versies in het bereik >= 1.14.0, < 1.14.5 zijn getroffen, evenals versies ouder dan 1.13.6 in de 1.13.x-lijn. Voor CVE-2026-101914: @grpc/grpc-js-xds-versie 1.14.0 is getroffen, evenals versies ouder dan 1.13.1 in de 1.13.x-lijn.

Fixes en mitigatie

CVE-2026-101916 en CVE-2026-101915 zijn verholpen in @grpc/grpc-js-versie 1.14.5 en versie 1.13.6. CVE-2026-101914 is verholpen in @grpc/grpc-js-xds-versie 1.14.1 en versie 1.13.1.

Aanbevolen actie

Werk @grpc/grpc-js bij naar versie 1.14.5 of 1.13.6, afhankelijk van uw huidige releaselijn. Werk @grpc/grpc-js-xds bij naar versie 1.14.1 of 1.13.1, afhankelijk van uw huidige releaselijn. Controleer applicatiecode die vertrouwt op getAuthContext voor autorisatiebeslissingen, en controleer foutmeldingen van methode-handlers op gevoelige inhoud die niet aan clients mag worden blootgesteld. Als RBAC wordt gebruikt met hoofdletterongevoelige matching en overlappende methodenaam-voorvoegsels, controleer dan na het upgraden of toegangsregels correct worden toegepast.