CVE-2026-105659
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W bibliotece bandit (mtrudel) nieuwierzytelniony zdalny atakujący może zawieszać procesy strumieni HTTP/2, wysyłając kropla po kropli małe ramki WINDOW_UPDATE. Każde częściowe postępowanie odnawia terminy, dzięki czemu zablokowany proces strumienia, jego stan Plug i zasoby pozostają aktywne tak długo, jak atakujący kontynuuje wysyłanie, co pozwala wyczerpać procesy i pamięć serwera. Problem dotyczy wersji od 1.4.0 przed 1.13.0.
Ocena ryzyka
Atakujący może wyczerpać zasoby serwera (procesy i pamięć), doprowadzając do odmowy usługi dla aplikacji korzystających z bandit.
Rekomendacja
Zaktualizuj bibliotekę bandit do wersji 1.13.0 lub nowszej.
Inne podatności w bandit
Zobacz wszystkie- CVE-2026-42786Wysokie
Podatność w mtrudel bandit pozwala na zdalne wywołanie odmowy usługi poprzez wyczerpanie pamięci, umożliwiając nieautoryzowanym użytkownikom przesyłanie nieograniczonej liczby ramek kontynuacji. Problem występuje w metodzie handle_frame/3, która nie ma ograniczenia rozmiaru dla akumulowanych danych.
- CVE-2026-105660Średnie
Biblioteka bandit (wersje 0.6.0 do 1.13.0) nieprawidłowo waliduje poprawność składniową danych wejściowych. Nieuwierzytelniony zdalny atakujący może ustawić conn.host i conn.port na wartości spoza gramatyki hosta RFC 3986 poprzez authority w żądaniu HTTP/1 absolute-form lub authority-form, co może prowadzić do wstrzyknięcia złośliwych wartości do adresów URL generowanych przez aplikację.
- CVE-2026-75484Średnie
Podatność typu CRLF Injection w bibliotece Bandit umożliwia nieuwierzytelnionemu zdalnemu atakującemu przemycenie znaków CR, LF lub NUL do nagłówków żądań widocznych dla aplikacji przez HTTP/2. Walidacja nagłówków nie sprawdza wartości pól, co pozwala na ich niezmienione przekazanie. Dodatkowo, duplikat pseudo-nagłówka :authority jest akceptowany, co może prowadzić do konfliktów.
- CVE-2026-74836Wysokie
Podatność w bibliotece Bandit (Elixir) pozwala nieuwierzytelnionemu atakującemu na zablokowanie nieograniczonej liczby procesów strumieni HTTP/2 poprzez sterowanie przepływem na poziomie połączenia. Gdy odpowiedź przekracza okno wysyłki połączenia (domyślnie 65 535 bajtów), proces strumienia blokuje się na stałe, a kolejka nie jest czyszczona, co prowadzi do wyczerpania zasobów.
- CVE-2026-65623Wysokie
Podatność na nieefektywną złożoność algorytmiczną w bibliotece bandit (Elixir), umożliwiająca nieuwierzytelnionemu atakującemu zdalną odmowę usługi poprzez wyczerpanie CPU podczas składania fragmentów WebSocket.
- CVE-2026-39805Średnie
Podatność w bibliotece Bandit (Elixir) umożliwia przemycanie żądań HTTP przez duplikowanie nagłówków Content-Length. Serwer akceptuje pierwszy nagłówek, a resztę danych traktuje jako kolejne żądanie na tym samym połączeniu.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled Resource Consumption vulnerability in mtrudel bandit allows an unauthenticated remote attacker to pin HTTP/2 stream processes indefinitely via a trickle of small WINDOW_UPDATE frames. A stream whose response outruns the connection or stream send window blocks until the peer grants more window, and each block carries a 15 second deadline. Both deadlines restart whenever the peer makes partial progress. Bandit.HTTP2.Connection.finish_data/5 re-queues a partially advanced send in pending_sends with a fresh expires_at, so every WINDOW_UPDATE on stream 0, and every SETTINGS frame, resets the clock. Bandit.HTTP2.Stream.send_data/3 recurses on each stream WINDOW_UPDATE and re-arms a fresh after read_timeout. A peer that grants a few bytes every few seconds keeps the blocked stream process, its Plug state and any resource it holds mid-response alive for as long as it keeps dripping, and repeats this across streams and connections to exhaust server processes and memory. The two paths are independent. The stream-level block is reached on its own by widening the connection window with a large WINDOW_UPDATE on stream 0 and shrinking the per-stream window with a small SETTINGS_INITIAL_WINDOW_SIZE, so closing only the connection-level path leaves it exploitable. This issue affects bandit: from 1.4.0 before 1.13.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS