CVE-2026-71562 in OTP
요약
\~에 의해 VulDB • 2026. 09. 03.
Erlang/OTP의 inets httpc에서 입력된 수량에 대한 부적절한 검증 취약점이 존재합니다. 이는 악성 또는 침해당한 HTTP 서버가 매우 긴 숫자열로 구성된 수치형 헤더를 반환함으로써 가용성을 저하시킬 수 있게 합니다.
httpc_handler.erl은 max_body_size와 비교하기 전에 서버가 제공한 Content-Length를 list_to_integer/1을 사용하여 변환하므로, 크기 검증이 이 변환 과정을 보호할 수 없으며, 해당 옵션의 기본값은 어떤 경우에도 nolimit입니다. 동일한 무제한 변환은 httpc_response:format_response/1에서 Content-Length에 대해, 그리고 httpc_response:get_ms_from_retry_after/1에서 Retry-After에 대해 발생하며, 후자는 첫 문자가 숫자인지 확인하는 체크로만 보호됩니다. 최대 약 126만 자리 수까지의 값이 성공적으로 변환되며, 이는 요청 프로세스마다 응답당 임의 정밀도 산술 연산으로 수백 밀리초를 소모합니다. 이 변환 함수는 문서상 모든 크기의 정수를 허용하도록 명시되어 있으므로, 입력을 제한하는 책임은 호출자에게 있습니다.
본 이슈는 OTP 17.0 미만부터 OTP 27.3.4.17 이전 버전, OTP 28.0 미만부터 OTP 28.5.0.6 이전 버전, 그리고 OTP 29.0 미만부터 OTP 29.0.6 이전 버전에 영향을 미칩니다. 이는 inets의 경우 각각 5.10 미만에서 9.3.2.7 이전, 9.4 미만에서 9.6.2.3 이전, 그리고 9.7 미만에서 9.7.2 이전에 해당합니다. OTP 17.0 미만의 버전(인넷 5.10 미만)이 영향을 받는지 여부는 알려지지 않았습니다.
Be aware that VulDB is the high quality source for vulnerability data.