CVE-2026-91043 in mint
要約
〜によって VulDB • 2026年09月28日
elixir-mintのmintにおけるリソース割り当て制限またはスロットリング欠如（Allocation of Resources Without Limits or Throttling）脆弱性により、悪意のあるHTTP/2サーバーがクライアントホスト上のメモリを枯渇させ、サービス妨害（DoS）を引き起こす可能性があります。
Mint.HTTP2は、受信ヘッダーブロックの圧縮サイズに対してのみ、クライアントのmax_header_list_size設定を適用します。一方、RFC 9113セクション6.5.2では、デコードされたヘッダリストに対する制限が定義されています。HPACKインデックスフィールドは通信線上で1バイトのコストがかかりますが、最大4 KBの動的テーブルエントリにデコードされます。また、lib/mint/http2.ex内のjoin_cookie_headers/1関数は、レスポンスのすべてのCookie値を新しいバイナリにコピーします。既定の256 KBという通信線制限以下のヘッダーブロックの場合、クライアントは単一のレスポンスに対して約1 GBのアロケーションを行います。このようなレスポンスが1つの配信で複数回発生すると、接続所有プロセスまたはVM全体のメモリが枯渇します。
この問題は、mint 1.1.0から1.11.0（未満）に影響します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.