CVE-2026-71380
WysokieCVSS 8.7Streszczenie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi poprzez wysłanie prawidłowych nagłówków z dużą wartością Content-Length, a następnie wstrzymanie transmisji przed zakończeniem ciała. Serwer anuluje limit czasu po parsowaniu nagłówków i nie ustawia nowego, co prowadzi do zawieszenia procesu roboczego.
Ocena ryzyka
Atakujący może zająć wszystkie dostępne połączenia, uniemożliwiając obsługę legalnych klientów, co prowadzi do niedostępności usługi.
Rekomendacja
Zaktualizuj Erlang/OTP do wersji z poprawką (OTP 27.3.4.17, 28.5.0.6 lub 29.0.6) lub skonfiguruj opcję minimum_bytes_per_second, aby wymusić limit szybkości.
Inne podatności w Erlang/OTP inets
Zobacz wszystkie- CVE-2026-74994Średnie
Moduł mod_auth w serwerze inets httpd OTP, przy użyciu backendów uwierzytelniania dets lub mnesia oraz wielu bloków konfiguracji katalogów, scala wszystkie bloki katalogów w jedną wspólną przestrzeń nazw użytkowników/grup. Użytkownik dodany do jednego chronionego katalogu jest akceptowany jako ważny dla wszystkich innych chronionych katalogów na tym samym serwerze.
- CVE-2026-73270Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na odczyt plików w katalogu chronionym przez mod_auth, poprzez wysłanie żądania z inną wielkością liter, gdy system plików nie rozróżnia wielkości liter. Sprawdzenie ścieżki nie uwzględnia opcji caseless, co pozwala ominąć uwierzytelnienie.
- CVE-2026-71562Średnie
W module httpc w Erlang/OTP inets występuje podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych. Złośliwy lub skompromitowany serwer HTTP może obniżyć dostępność, zwracając nagłówek numeryczny o bardzo długiej sekwencji cyfr, co prowadzi do kosztownej konwersji na liczbę całkowitą.
- CVE-2026-70399Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi poprzez otwarcie i utrzymanie dużej liczby połączeń. Opcja max_clients nie jest domyślnie ustawiana, co pozwala na nieograniczoną liczbę jednoczesnych połączeń, prowadząc do wyczerpania zasobów.
- CVE-2026-66835Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na odczyt plików w katalogu chronionym przez mod_auth poprzez dodanie dodatkowego ukośnika na początku ścieżki. Normalizacja URI nie usuwa podwójnych ukośników, co powoduje, że sprawdzenie ścieżki nie rozpoznaje chronionego katalogu.
- CVE-2026-66357Wysokie
Serwer HTTP inets w Erlang/OTP nie implementuje obsługi kontynuacji nagłówków (obs-fold), co może prowadzić do podatności na przemycanie żądań HTTP (request smuggling). Każdy CRLF po którym następuje nie-CRLF rozpoczyna nowy nagłówek, co może być wykorzystane przez atakującego.
Oryginalny opis (angielski, źródło NVD)
Missing Release of Resource after Effective Lifetime vulnerability in Erlang/OTP inets httpd allows an unauthenticated remote attacker to cause denial of service by sending valid request headers with a large Content-Length and then stalling before the body is complete. httpd_request_handler:handle_info/2 cancels the request timeout as soon as a parse step succeeds, which includes the headers, and the clause that handles a decoder asking for more data re-arms the socket with {active, once} without setting any further timer. httpd_request:whole_body/2 returns such a continuation whenever the bytes received are fewer than the announced Content-Length, so a well-formed request that stops mid-body leaves the worker waiting indefinitely. The periodic byte-rate check that would reclaim it is armed only when minimum_bytes_per_second is configured, which it is not by default. Repeating this across connections occupies every worker permitted by max_clients and denies service to legitimate clients at negligible bandwidth cost. This issue affects OTP from OTP 17.0 before OTP 27.3.4.17, from OTP 28.0 before OTP 28.5.0.6, and from OTP 29.0 before OTP 29.0.6, corresponding to inets from 5.10 before 9.3.2.7, from 9.4 before 9.6.2.3, and from 9.7 before 9.7.2. Whether OTP before OTP 17.0, corresponding to inets before 5.10, is affected is unknown.