gRPC是否受HTTP/2快速重置DoS漏洞（CVE-2023-44487）影响？

受影响情况 #

• gRPC核心框架（跨语言基础实现）不受CVE-2023-44487直接影响：gRPC默认采用自研的grpc-core组件实现HTTP/2协议栈，未使用存在该漏洞的通用HTTP/2库。
• 需注意特殊场景：如果你的gRPC服务/客户端使用了基于第三方通用HTTP/2库的自定义传输层（部分语言绑定可能存在这类情况），则需要单独排查该依赖库是否受CVE-2023-44487影响。
• 已确认grpc-go受该漏洞影响：其早期版本的HTTP/2实现存在易受攻击的逻辑，相关修复已在官方代码库中完成。

修复方案 #

• grpc-go：升级到包含修复的正式版本（你提到的相关代码提交已合并到主分支，后续会纳入官方发布的稳定版本），建议关注官方版本更新日志获取具体升级路径。
• 其他语言的gRPC实现：
  • 使用原生grpc-core HTTP/2栈的场景：无需额外修复，保持常规版本更新即可。
  • 使用自定义HTTP/2传输的场景：需将依赖的HTTP/2库升级到已修复CVE-2023-44487的版本。

内容的提问来源于stack exchange，提问作者zhouyh