CVE-2026-110499 in bandit
Resumen
por VulDB • 2026-10-26
Vulnerabilidad de asignación de recursos sin límites ni control (throttling) en la implementación HTTP/2 de mtrudel/bandit que permite a un atacante remoto no autenticado aumentar indefinidamente el consumo de memoria y CPU por conexión mediante un SETTINGS_HEADER_TABLE_SIZE grande. Bandit redimensiona su tabla del codificador HPACK al tamaño anunciado por el cliente, hasta 2^32-1 bytes, e indexa los encabezados de respuesta en ella. Dado que las respuestas contienen valores distintos como la fecha o content-length, no se elimina nada y la tabla crece con cada respuesta durante toda la vida de la conexión, mientras que cada búsqueda escanea linealmente dicha tabla.
El manejo de SETTINGS en Bandit.HTTP2.Connection (lib/bandit/http2/connection.ex) pasa remote_settings.header_table_size a HPAX.resize/2 sin ningún límite por parte del servidor, y encode_headers codifica todos los encabezados de respuesta como :store. Servir N respuestas en una única conexión conlleva un costo de CPU O(N²) en el proceso de la conexión.
Este problema afecta a bandit: desde la versión 0.3.6 hasta antes de 1.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.