KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-33186 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
gRPC-Go 是 gRPC 通信协议的 Go 语言官方实现。
由于 gRPC-Go 服务端对 HTTP/2 `:path` 伪头部的验证过于宽松，允许路径省略强制性的起始斜杠（例如使用 `Service/Method` 而非 `/Service/Method`）。鉴权拦截器（如官方的 `grpc/authz`）在评估策略时使用原始非规范路径，导致针对以 `/` 开头的规范路径定义的“拒绝（deny）”规则无法匹配。
攻击者可以通过发送构造的畸形 `:path` 头部绕过特定权限检查，在存在“默认允许”兜底规则的情况下访问受保护的方法。
影响范围
应用：grpc grpc（影响面 Up to (excluding) 1.79.3）
系统：alibaba_cloud_linux_3 osbuild-composer（影响面 Up to (excluding) 165.1-2.al8）
系统：alma_linux_8 osbuild-composer（影响面 Up to (excluding) 101.5-1.el8_10.alma.1）
系统：alma_linux_9 opentelemetry-collector（影响面 Up to (excluding) 0.144.0-2.el9_8）
系统：alpine_3.24 rclone（影响面 Up to (excluding) 1.73.5-r0）
系统：amazon_2 docker（影响面 Up to (excluding) 25.0.14-1.amzn2.0.3）
系统：amazon_2023 rclone（影响面 Up to (excluding) 1.73.4-74.amzn2023）
系统：anolis_os_8 osbuild-composer（影响面 Up to (excluding) 165.1-2）
……另有 11 项受影响环境，详见官方公告
解决方案
将组件 grpc-go 升级至 1.79.3 及以上版本
将组件 github.com/grpc/grpc-go 升级至 v1.79.3 及以上版本
将组件 google.golang.org/grpc 升级至 v1.79.3 及以上版本
参考信息
https://access.redhat.com/errata/RHSA-2026:10093
https://access.redhat.com/errata/RHSA-2026:10094
https://access.redhat.com/errata/RHSA-2026:10105
https://access.redhat.com/errata/RHSA-2026:10107
https://access.redhat.com/errata/RHSA-2026:10125
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。