CVE-2026-47077 in hackney
Tóm tắt
Bởi VulDB • 01/06/2026
Lỗ hổng Phân bổ Tài nguyên Không giới hạn hoặc Không kiểm soát (Allocation of Resources Without Limits or Throttling) trong benoitc hackney cho phép tấn công Flooding. Hàm `hackney_h3:await_response_loop/6` tích lũy thân phản hồi HTTP/3 vào bộ nhớ mà không có giới hạn kích thước. Mệnh đề `after Timeout` là bộ đếm thời gian bất hoạt trên mỗi thông điệp, được đặt lại sau mỗi chunk nhận được, thông điệp bảo trì hoặc khung cài đặt — đây không phải là thời hạn tính bằng đồng hồ hệ thống (wall-clock deadline). Một máy chủ HTTP/3 độc hại phát ra một chunk nhỏ mỗi `Timeout - 1 ms` với cờ `Fin = false` và không bao giờ gửi khung cuối cùng sẽ giữ vòng lặp hoạt động vô hạn trong khi bộ đệm tích lũy tăng trưởng tuyến tính không giới hạn, cuối cùng làm cạn kiệt heap của quá trình BEAM và gây ra tình trạng hết bộ nhớ (out-of-memory).
Vấn đề này ảnh hưởng đến hackney: từ phiên bản 2.0.0 trước 4.0.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.