Apache bRPC（C++の高性能RPCフレームワーク）において、ヒーププロファイラの組み込みサービスにリモートコマンドインジェクションの脆弱性が確認されました。対象は jemalloc メモリプロファイリングに用いられる /pprof/heap エンドポイントで、ユーザー入力の extra_options を検証せずコマンドライン引数として扱ってしまう実装が原因です。条件がそろうと、攻撃者がリモートから任意コマンド実行に到達し得ます。
対象バージョン
影響を受けるのは Apache bRPC 1.11.0 以上 1.15.0 未満 とされています（NVDの記載では「1.15.0未満」）。
対策バージョン
根本対策は bRPC 1.15.0 へのアップグレード です。
脆弱性のポイント
問題は「デバッグ／診断用途の機能が、入力検証不足により実行経路になってしまった」という点です。bRPCのheap profiler builtin service（/pprof/heap）は、本来は運用中のメモリ利用状況を確認するための仕組みですが、extra_options が未検証のまま引数として解釈されることで、外部から細工されたリクエストが入り込む余地が生まれます。
関連記事
Apache bRPCに深刻なJSONパース 脆弱性(CVE-2025-59789)
Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650)
Log4j「Socket Appender」でTLSのホスト名検証が効かない脆弱性(CVE-2025-68161)
Linuxのnftablesの脆弱性「CVE-2024-26809」を悪用したサイバー攻撃のPoCが公開
Apache Tomcatでリモートコード実行や情報 漏洩のリスクがある脆弱性（CVE-2025-24813）
PHPのフレームワーク Laravelで2件の重大なXSS脆弱性（CVE-2024-13918、 CVE-2024-13919）
Apache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートを
Apache Parquet Javaの脆弱性(CVE-2025-30065)の検証・検出ツールをF5 Labsが公開
Google、Chrome 141 安定版を公開-Safe BrowsingのUAF 脆弱性(CVE-2025-11756)を修正、企業は即時展開を
