CVE-2026-71380 in OTP
Zusammenfassung
von VulDB • 01.09.2026
Ein Fehler im Bereich „Missing Release of Resource after Effective Lifetime“ (fehlende Freigabe von Ressourcen nach Ablauf der effektiven Lebensdauer) in Erlang/OTP inets httpd ermöglicht es einem nicht authentifizierten Remote-Angriff, einen Denial-of-Service auszulösen, indem gültige Anforderungsheader mit einer großen Content-Length gesendet und dann vor Abschluss des Körpers gewartet wird.
httpd_request_handler:handle_info/2 hebt die Timeout-Einstellung der Anfrage auf, sobald ein Parsing-Schritt erfolgreich ist, was auch die Header umfasst, und der Zweig, der einen Decoder behandelt, der mehr Daten anfordert, scharf schaltet den Socket mit {active, once}, ohne weitere Timer zu setzen. httpd_request:whole_body/2 gibt eine solche Fortsetzung zurück, wenn die empfangenen Bytes weniger als die angekündigte Content-Length betragen; daher lässt eine wohlgeformte Anfrage, die mitten im Körper stoppt, den Worker unendlich warten. Die periodische Byte-Ratenprüfung, die ihn wiederherstellen würde, wird nur aktiviert, wenn minimum_bytes_per_second konfiguriert ist, was standardmäßig nicht der Fall ist. Das Wiederholen dieses Vorgangs über Verbindungen hinweg belegt jeden vom max_clients erlaubten Worker und verweigert legitimen Clients den Dienst bei vernachlässigbarem Bandbreitenverbrauch.
Dieses Problem betrifft OTP ab Version 17.0 vor OTP 27.3.4.17, ab OTP 28.0 vor OTP 28.5.0.6 und ab OTP 29.0 vor OTP 29.0.6, was inets von 5.10 vor 9.3.2.7, ab 9.4 vor 9.6.2.3 und ab 9.7 vor 9.7.2 entspricht. Ob OTP vor Version 17.0 (entsprechend inets vor 5.10) betroffen ist, bleibt unbekannt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.