CVE-2026-43970 in cowlib
الملخص
بحسب VulDB • 20/05/2026
ثغرة سوء معالجة البيانات شديدة الضغط (تضخيم البيانات) في مكتبة ninenines cowlib تتيح هجوماً لحرمان الخدمة عن بُعد دون الحاجة إلى مصادقة، وذلك عبر استنفاد الذاكرة.
تقوم الدالة `cow_spdy:inflate/2` في مكتبة cowlib بتمرير البايتات المضغوطة المقدمة من الطرف الآخر مباشرةً إلى الدالة `zlib:inflate/2` دون وجود حد أقصى لحجم المخرجات. بما أن قاموس ضغط عناوين بروتوكول SPDY (?ZDICT) هو قاموس عام، وتقوم مكتبة zlib بضغط التسلسلات الطويلة من البايتات المتكررة بنسبة تقارب 1024:1، فإن بضعة كيلوبايتات من حمولة إطار SPDY يمكن أن تتفكك إلى جيجابايتات على كومة الذاكرة العشوائية (heap) الخاصة بـ BEAM، مما يؤدي إلى قتل العقدة (node) بسبب نفاد الذاكرة (OOM). يكفي إطار SPDY واحد غير مصدق لإثارة هذه الحالة. تتأثر جميع أدوات تحليل أنواع إطارات `syn_stream` و `syn_reply` و `headers` عبر الدالة `cow_spdy:parse_headers/2`.
تؤثر هذه المشكلة في إصدارات مكتبة cowlib بدءاً من الإصدار 0.1.0 وحتى ما قبل الإصدار 2.16.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.