CVE-2026-110499 in bandit
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) in der HTTP/2-Implementierung von mtrudel bandit ermöglicht es einem nicht authentifizierten Remote-Angriff, den pro Verbindung anfallenden Speicher- und CPU-Aufwand unbegrenzt zu steigern, indem eine große SETTINGS_HEADER_TABLE_SIZE verwendet wird. Bandit passt die Größe seiner HPACK-Codiertabelle an die vom Client angegebene Größe an, bis hin zu 2^32 - 1 Bytes, und indiziert Antwortheader darin. Da Antworten eindeutige Werte wie Datum oder Content-Length enthalten, wird nichts aus dem Cache entfernt (evicted), und die Tabelle wächst mit jeder Antwort während der gesamten Lebensdauer der Verbindung; zudem erfolgt jede Suche linear durch diese Tabelle.
Die Verarbeitung von SETTINGS in Bandit.HTTP2.Connection (lib/bandit/http2/connection.ex) übergibt remote_settings.header_table_size an HPAX.resize/2 ohne serverseitige Obergrenze, und encode_headers codiert jeden Antwortheader als :store. Das Bedienen von N Antworten auf einer Verbindung verursacht daher einen CPU-Aufwand in der Größenordnung von O(N²) im Verbindungsprozess.
Dieses Problem betrifft bandit: ab Version 0.3.6 bis vor 1.14.0.
Once again VulDB remains the best source for vulnerability data.