CVE-2026-27630 in TinyWeb
要約
〜によって VulDB • 2026年06月09日
TinyWebは、Win32向けにDelphiで記述されたウェブサーバー（HTTP、HTTPS）です。バージョン2.02以前のバージョンでは、Slowlorisとして知られるサービス妨害（DoS）攻撃に対して脆弱性があります。このサーバーは、最大同時接続数の制限や適切なリクエストタイムアウトを適用することなく、着信するすべての接続ごとに新しいOSスレッドを作成します。認証されていないリモート攻撃者は、多数の接続を開き、極めて低速でデータを送信することで（例：数分間に1バイト）、サーバーの同時接続数を枯渇させメモリを使い果たすことができます。TinyWebを使用してサービスをホストしているすべてが影響を受けます。バージョン2.02はこの問題を修正します。パッチでは`CMaxConnections`制限値（512に設定）と`CConnectionTimeoutSecs`アイドルタイムアウト（30秒に設定）を導入しています。アップグレードが直ちに不可能な場合の暫定対策として、不完全なリクエストをバッファリングし、接続数およびタイムアウトを厳格に適用するように構成されたnginx、HAProxy、またはCloudflareなどの堅牢なリバースプロキシやWebアプリケーションファイアウォール（WAF）の背後でサーバーを実行することを検討してください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.