CVE-2026-110499 in bandit
要約
〜によって VulDB • 2026年10月26日
HTTP/2実装における「リソースの制限またはスロットリングなしでの割り当て」脆弱性が、mtrudel banditに存在します。これにより、認証されていないリモート攻撃者は、大きなSETTINGS_HEADER_TABLE_SIZEを通じて、接続ごとのメモリおよびCPUコストを無制限に増大させることができます。Banditは、クライアントが宣言したサイズ（最大2^32-1バイト）までHPACKエンコーダテーブルのサイズを変更し、レスポンスヘッダーをその中にインデックス付けします。日付やcontent-lengthなど固有の値を含むレスポンスではエビクションが発生しないため、接続存続期間中、すべてのレスポンスに対してテーブルが成長し、各ルックアップは線形走査されます。
Bandit.HTTP2.Connection (lib/bandit/http2/connection.ex) におけるSETTINGS処理は、サーバー側の上限なしでremote_settings.header_table_sizeをHPAX.resize/2に渡します。また、encode_headersはすべてのレスポンスヘッダーを:storeとしてエンコードします。そのため、1つの接続上でN回のレスポンスを提供すると、コネクションプロセスにおいてO(N^2)のCPUコストがかかります。
この問題は、bandit 0.3.6から1.14.0未満に影響します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.