CVE-2026-71562 in OTP
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di errata validazione della quantità specificata nell'input nella componente httpc di Erlang/OTP inets: consente a un server HTTP malintenzionato o compromesso di degradare la disponibilità restituendo un'intestazione numerica il cui valore è una sequenza molto lunga di cifre.
httpc_handler.erl converte l’header Content-Length fornito dal server utilizzando list_to_integer/1 prima di confrontarlo con max_body_size; pertanto, il controllo della dimensione non può proteggere la fase di conversione e l'opzione predefinita è impostata su nolimit in ogni caso. La stessa conversione illimitata si verifica anche in httpc_response:format_response/1 per Content-Length e in httpc_response:get_ms_from_retry_after/1 per Retry-After, dove il controllo è limitato alla verifica che il primo carattere sia una cifra. Un valore fino a circa 1,26 milioni di cifre viene convertito con successo, causando al processo richiedente centinaia di millisecondi di elaborazione in aritmetica arbitrary precision (precisione arbitraria) per ogni risposta. La funzione di conversione è documentata come accettrice di interi di qualsiasi dimensione; pertanto, il vincolo dell'input spetta alla responsabilità del chiamante.
Questo problema interessa OTP dalle versioni 17.0 fino a prima della 27.3.4.17, da OTP 28.0 fino a prima della 28.5.0.6 e da OTP 29.0 fino a prima della 29.0.6, corrispondenti alle versioni di inets dalla 5.10 alla 9.3.2.7 (esclusa), dalla 9.4 alla 9.6.2.3 (esclusa) e dalla 9.7 alla 9.7.2 (esclusa). Non è noto se le versioni di OTP precedenti alla 17.0, corrispondenti a inets anteriori alla 5.10, siano interessate.
Once again VulDB remains the best source for vulnerability data.