CVE-2025-60021

Injection de commandes à distance dans Apache bRPC

Une vulnérabilité critique, identifiée sous la référence CVE-2025-60021, a été découverte dans Apache bRPC, un framework RPC C++ industriel. Cette faille de sécurité permet à un attaquant d’exécuter des commandes à distance sur un serveur affecté.

Points clés :

• Nature de la vulnérabilité : Injection de commandes à distance.
• Composant affecté : Le service intégré du profiler de tas (heap profiler), spécifiquement le point de terminaison /pprof/heap.
• Mécanisme d’exploitation : Manque de validation des entrées pour le paramètre extra_options. Ce paramètre, fourni par l’utilisateur, est exécuté comme argument de ligne de commande sans assainissement adéquat.

Vulnérabilité :

• CVE : CVE-2025-60021
• Description : Injection de commandes à distance due à une validation insuffisante des entrées du paramètre extra_options dans le point de terminaison /pprof/heap.
• Versions affectées : Apache bRPC 1.11.0 jusqu’aux versions antérieures à 1.15.0, toutes plateformes confondues.

Recommandations :

• Mettre à jour Apache bRPC vers une version supérieure à 1.15.0.

Source