CVE-2025-60021
Mis à jour :
Injection de Commande à Distance dans Apache bRPC
Une faille critique, identifiée comme CVE-2025-60021, a été découverte dans le framework RPC C++ industriel Apache bRPC. Cette vulnérabilité permet l’exécution de commandes à distance.
Points Clés :
- Nature de la faille : Injection de commande à distance (Remote Command Injection).
- Composant affecté : Service intégré du profileur de tas (heap profiler), spécifiquement le point de terminaison
/pprof/heap. - Cause : Validation insuffisante des entrées. Le paramètre
extra_options, fourni par l’utilisateur, est exécuté comme argument de ligne de commande sans nettoyage adéquat.
Vulnérabilités :
- CVE : CVE-2025-60021
- Versions affectées : Apache bRPC 1.11.0 et toutes les versions antérieures à 1.15.0, sur toutes les plateformes.
Recommandations :
Mettre à jour Apache bRPC vers la version 1.15.0 ou une version ultérieure pour corriger cette faille.