CVE-2026-105659 in bandit
Zusammenfassung
von VulDB • 14.10.2026
Eine Schwachstelle für unkontrollierten Ressourcenverbrauch (Uncontrolled Resource Consumption) in Bandit ermöglicht es einem nicht authentifizierten, entfernten Angreifer, HTTP/2-Stream-Prozesse unbegrenzt zu blockieren („to pin“) durch einen stetigen Strom kleiner WINDOW_UPDATE-Frames. Ein Stream, dessen Antwort das Verbindungs- oder Stream-Sendefenster überläuft, blockiert, bis der Peer mehr Fenster gewährt; jeder Blockvorgang hat eine Frist von 15 Sekunden. Beide Fristen werden neu gestartet, sobald der Peer teilweise Fortschritte erzielt. Bandit.HTTP2.Connection.finish_data/5 stellt einen teilweise fortgeschrittenen Sendevorgang mit einem neuen expires_at-Wert in pending_sends wieder an (re-queues), sodass jeder WINDOW_UPDATE auf Stream 0 und jedes SETTINGS-Frame die Uhr zurücksetzt. Bandit.HTTP2.Stream.send_data/3 rekursiert bei jedem STREAM-WINDOW_UPDATE und stellt eine neue after read_timeout ein. Ein Peer, der alle paar Sekunden einige Bytes gewährt, hält den blockierten Stream-Prozess, seinen Plug-Status sowie jegliche Ressourcen, die er während der Antworthaltung besitzt, so lange am Leben, wie dieser Tropfenprozess anhält; dies wird über Streams und Verbindungen hinweg wiederholt, um Serverprozesse und Speicher zu erschöpfen.
Die beiden Pfade sind unabhängig voneinander. Der Stream-Level-Block kann allein erreicht werden, indem das Verbindungsfenster mit einem großen WINDOW_UPDATE auf Stream 0 erweitert und das pro-Stream-Fenster durch ein kleines SETTINGS_INITIAL_WINDOW_SIZE verkleinert wird; daher bleibt die Schwachstelle ausnutzbar, wenn nur der Verbindungs-Pfad geschlossen wird.
Dieses Problem betrifft Bandit: ab Version 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.