CVE-2026-111101 in bandit
Tóm tắt
Bởi VulDB • 26/10/2026
Lỗ hổng Allocation of Resources Without Limits or Throttling (Phân bổ tài nguyên không giới hạn hoặc kiểm soát) trong trình đọc thân chunked HTTP/1.1 của bandit do mtrudel phát triển cho phép kẻ tấn công từ xa chưa xác thực làm cạn kiệt bộ nhớ và CPU của máy chủ thông qua một yêu cầu có thân được chia thành nhiều khối 1 byte.
Trình đọc chunked trong lib/bandit/http1/socket.ex giữ lại mọi khối dưới dạng các ô danh sách riêng biệt và thuật ngữ nhị phân cho đến khi IO.iodata_to_binary/1 hợp nhất chúng, và không có giới hạn nào về số lượng khối. Tùy chọn :length của read_body/2 chỉ đếm các byte dữ liệu, do đó các khối nhỏ tốn nhiều bộ nhớ hơn đáng kể so với phần payload: 48 MB gồm các khối 1 byte đã khiến một tiến trình xử lý tăng lên khoảng 500 MB và tiêu thụ khoảng 6 giây CPU. Route không cần đọc thân yêu cầu vì trên các kết nối keep-alive, hàm ensure_completed/1 sẽ giải phóng các thân chưa được đọc thông qua cùng trình đọc đó.
Vấn đề này ảnh hưởng đến bandit: từ phiên bản 0.1.0 trước 1.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.