CVE-2026-110499 in bandit
요약
\~에 의해 VulDB • 2026. 10. 26.
HTTP/2 구현체인 mtrudel bandit에서 제한 없이 리소스를 할당하는(Allocation of Resources Without Limits or Throttling) 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 원격 공격자가 큰 SETTINGS_HEADER_TABLE_SIZE를 사용하여 연결별 메모리 및 CPU 비용을 무제한으로 증가시킬 수 있습니다. Bandit은 HPACK 인코더 테이블을 클라이언트가 광고한 크기, 최대 2^32-1 바이트까지 조정하며 응답 헤드를 여기에 인덱싱합니다. 날짜나 content-length와 같이 각 응답이 고유한 값을 포함하기 때문에 항목이 제거되지 않고 연결 기간 동안 모든 응답마다 테이블이 성장하며, 매번 선형 검색을 수행하게 됩니다.
Bandit.HTTP2.Connection(lib/bandit/http2/connection.ex)의 SETTINGS 처리 로직은 서버 측 제한 없이 remote_settings.header_table_size를 HPAX.resize/2로 전달하고, encode_headers는 모든 응답 헤드를 :store로 인코딩합니다. 따라서 단일 연결에서 N개의 응답을 서비스하면 연결 프로세스에서 O(N^2)의 CPU 비용이 발생합니다.
본 이슈는 bandit 0.3.6부터 1.14.0 미만 버전까지 영향을 미칩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.