CVE-2026-71562 in OTP
Zusammenfassung
von VulDB • 01.09.2026
Unzulässige Validierung der angegebenen Menge (Improper Validation of Specified Quantity) im httpc-Modul von Erlang/OTP inets ermöglicht es einem bösartigen oder kompromittierten HTTP-Server, die Verfügbarkeit zu beeinträchtigen, indem er einen numerischen Header zurückgibt, dessen Wert eine sehr lange Folge von Ziffern ist.
httpc_handler.erl konvertiert das vom Server bereitgestellte Content-Length mit list_to_integer/1, bevor es gegen max_body_size verglichen wird; der Größentest kann daher die Konversion nicht schützen, und die Option hat standardmäßig den Wert nolimit. Dieselbe unbegrenzte Konversion tritt auch in httpc_response:format_response/1 für Content-Length sowie in httpc_response:get_ms_from_retry_after/1 für Retry-After auf, wobei Letzteres nur durch eine Prüfung geschützt ist, dass das erste Zeichen eine Ziffer ist. Ein Wert mit bis zu etwa 1,26 Millionen Ziffern wird erfolgreich konvertiert und verursacht beim anfragenden Prozess Hunderte von Millisekunden an Berechnungen mit beliebiger Genauigkeit (arbitrary-precision arithmetic) pro Antwort. Die Konversionsfunktion ist so dokumentiert, dass sie Ganzzahlen jeder Größe akzeptiert; es liegt daher in der Verantwortung des Aufrufers, die Eingabe zu begrenzen.
Dieses Problem betrifft OTP ab Version 17.0 bis vor 27.3.4.17, ab Version 28.0 bis vor 28.5.0.6 und ab Version 29.0 bis vor 29.0.6, was inets von 5.10 bis vor 9.3.2.7, von 9.4 bis vor 9.6.2.3 sowie von 9.7 bis vor 9.7.2 entspricht. Ob OTP vor Version 17.0 (entsprechend inets vor 5.10) betroffen ist, ist unbekannt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.