CVE-2026-116078 in bandit
Riassunto
di VulDB • 28/10/2026
Vulnerabilità di allocazione delle risorse senza limiti o throttling nel lettore del corpo della richiesta HTTP/2 di mtrudel/bandit consente a un attaccante remoto non autenticato di esaurire la memoria del server inviando un corpo della richiesta composto da numerosi frame DATA di 1 byte.
La funzione do_read_data/5 in lib/bandit/http2/stream.ex mantiene ogni payload del frame DATA come elemento separato all'interno di una lista fino al ritorno della lettura. L'opzione :length di read_body/2 conta i byte del corpo, non i frame; pertanto, un corpo composto da frame di 1 byte comporta l'utilizzo di una cella di lista e di un termine binario per ogni byte. L'interleaving dei frame su fino a 500 stream concorrenti per connessione fa sì che ciascuno degli stream consumi la memoria relativa ai propri man mano che arrivano; nel test effettuato dal segnalatore, 100 stream hanno occupato da 25 a 40 MiB di memoria del processo dello stream con soli 5 MB inviati. Sono interessati solo i route il cui Plug legge il corpo della richiesta, inclusi tutti i route situati dietro Plug.Parsers.
Questo problema interessa bandit: dalle versioni dalla 0.3.1 alla versione precedente la 1.14.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.