CVE-2026-108525 in bandit
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) in der HTTP/2-Implementierung von mtrudel bandit ermöglicht es einem nicht authentifizierten, entfernten Angreifer, den Serverspeicher durch DATA-Frames zu erschöpfen, die über das beworbene Empfangsfenster hinaus gesendet werden. Der Angreifer fordert eine Antwort an, die größer als das initiale Fenster von 65.535 Bytes ist, und enthält WINDOW_UPDATE zurück, sodass der Stream-Prozess beim Senden blockiert und aufhört zu lesen; anschließend flutet er diesen Stream mit kleinen DATA-Frames. Jeder Frame wird in der Mailbox des Streams zwischengespeichert, bis die BEAM-Knoten keine Speicherressourcen mehr haben.
Bandit.HTTP2.Connection.handle_frame/3 in lib/bandit/http2/connection.ex leitet jeden DATA-Frame an den Stream-Prozess weiter, ohne das Empfangsfenster zu berücksichtigen, und Bandit.HTTP2.FlowControl.compute_recv_window/2 füllt das Fenster bei Datenankunft auf, nicht aber beim Verbrauch der Daten, und reagiert niemals mit einem FLOW_CONTROL_ERROR auf Verstöße.
Dieses Problem betrifft bandit: von Version 0.3.1 bis vor 1.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.