rpcx - Denial of Service via Gzip Decompression Bomb in Wire Protocol 漏洞概述 rpcx 1.9.3 及更早版本在 中存在拒绝服务漏洞。当消息设置了压缩标志时,payload 会通过 进行 gzip 解压缩,且对解压缩后的输出大小没有限制。唯一的内置大小限制是 ,它检查的是压缩后的帧长度,而不是解压缩后的大小,因此无法提供保护。由于解码(和解压缩)发生在 中的身份验证之前,单个未认证的连接可以发送一个小的(小于 2 MB)gzip 压缩消息,该消息会扩展到数 GB 的堆分配,导致内存耗尽条件和服务不可用。 影响范围 rpcx <= 1.9.3 修复方案 在 commit 047aec1 中修复了该漏洞。 参考链接 Researcher Disclosure Fix PR Fix Commit 贡献者 George Chen 其他信息 严重性: HIGH 日期: 7/8/2026 CVE: CVE-2026-59803 CWE: CWE-409 Improper Handling of Highly Compressed Data (Data Amplification) CVSS: 8.7 CVSS V4 Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/NI:N/SA:N