CVE-2026-108529 in bandit
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle mit ineffizienter algorithmischer Komplexität in der HTTP/2-Implementierung von mtrudel bandit ermöglicht es einem nicht authentifizierten Remote-Angriff, die CPU-Auslastung des Servers durch kleine SETTINGS- oder verbindungsebene-WINDOW_UPDATE-Frames zu erschöpfen. Der Angreifer öffnet Tausende von Streams, deren Antworten am Sende-Window der Verbindung blockieren, und sendet dann kostengünstige Frames, die den Server dazu bringen, jede Warteschlange blockierter Sends durchzulaufen. In einem Test des Meldenden benötigte ein einzelner 9-Byte langer SETTINGS-Frame bei 3.000 blockierten Streams 133 ms zur Verarbeitung.
do_pending_sends/2 in lib/bandit/http2/connection.ex wiederholt jeden warteschlangengestützten Send-Vorgang und entfernt vor jedem Wiederholungsversuch diesen Eintrag aus der Warteschlange mit List.delete/2, sodass ein Frame O(n²)-Listenoperationen für n blockierte Streams verursacht. max_concurrent_streams ist standardmäßig auf :infinity festgelegt, sodass der Angreifer n wählen kann.
Dieses Problem betrifft bandit: von Version 0.3.4 bis vor 1.14.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.