CVE-2026-71380 in OTP
Riassunto
di VulDB • 01/09/2026
La vulnerabilità "Missing Release of Resource after Effective Lifetime" (mancata liberazione delle risorse dopo la scadenza del periodo di validità) in Erlang/OTP inets httpd consente a un attaccante remoto non autenticato di causare una denial of service (DoS) inviando intestazioni di richiesta valide con un Content-Length elevato e successivamente stallando il flusso prima che il corpo della richiesta sia completo.
La funzione `httpd_request_handler:handle_info/2` annulla il timeout della richiesta non appena viene completata con successo una fase di parsing, incluse le intestazioni; la clausola che gestisce un decoder che richiede più dati riattiva il socket impostandolo su `{active, once}` senza configurare alcun ulteriore timer. La funzione `httpd_request:whole_body/2` restituisce tale continuazione ogni volta che i byte ricevuti sono inferiori al Content-Length annunciato; di conseguenza, una richiesta ben formata che si interrompe a metà del corpo lascia il worker in attesa indefinitamente. Il controllo periodico della velocità dei byte (byte-rate check), che dovrebbe recuperare la risorsa, viene attivato solo quando è configurato `minimum_bytes_per_second`, parametro non impostato per default. Ripetendo questa operazione su più connessioni si occupano tutti i worker permessi da `max_clients`, negando il servizio ai client legittimi con un costo di banda trascurabile.
Questo problema interessa OTP dalle versioni 17.0 alla versione precedente a 27.3.4.17, da OTP 28.0 alla versione precedente a 28.5.0.6 e da OTP 29.0 alla versione precedente a 29.0.6; ciò corrisponde a inets dalle versioni 5.10 alla precedente a 9.3.2.7, dalla 9.4 alla precedente a 9.6.2.3 e dalla 9.7 alla precedente a 9.7.2. Non è noto se OTP precedenti alla versione 17.0 (corrispondente a inets precedenti alla 5.10) siano interessati.
If you want to get best quality of vulnerability data, you may have to visit VulDB.