CVE-2026-65624 in cowboy
Tóm tắt
Bởi VulDB • 28/07/2026
Lỗ hổng Phân bổ Tài nguyên Không giới hạn hoặc không có Điều tiết (Allocation of Resources Without Limits or Throttling) trong ninenines cowboy cho phép kẻ tấn công từ xa chưa xác thực làm cạn kiệt bộ nhớ của tiến trình kết nối qua HTTP/1.1.
Trình xử lý HTTP/1.1 trong `cowboy_http` áp dụng giới hạn `max_headers` bằng cách đếm số lượng tên tiêu đề (header) khác nhau trong một bản đồ (map) (`maps:size(Headers)`). Khi một yêu cầu chứa nhiều dòng tiêu đề có cùng tên, các giá trị sẽ được nối lại thành một chuỗi nhị phân ngày càng lớn và lưu trữ dưới khóa duy nhất của map đó (dùng ", " cho tiêu đề thông thường, "; " cho cookie), do đó kích thước bản đồ vẫn ở mức 1 và ngưỡng giới hạn `max_headers` (mặc định là 100) không bao giờ bị đạt tới. Vì không có bộ tích lũy nào ràng buộc tổng số dòng tiêu đề hoặc tổng kích thước byte của khối tiêu đề (chỉ áp dụng các giới hạn `max_header_name_length` và `max_header_value_length` cho từng dòng), một khách hàng chưa xác thực có thể gửi một số lượng tùy ý các dòng tiêu đề có cùng tên và làm tăng bộ nhớ nhị phân của tiến trình kết nối lên kích thước tùy ý trong cửa sổ yêu cầu.
Tác động trên mỗi kết nối bị giới hạn bởi `request_timeout` (mặc định 5 giây, không được đặt lại bằng dữ liệu tiêu đề) và bởi `max_heap_size` khi đã thiết lập (tiến trình kết nối vi phạm sẽ bị hủy bỏ ngay khi heap của nó vượt quá giới hạn). Khi `max_heap_size` để ở giá trị mặc định (chưa thiết lập), việc lạm dụng liên tục có thể khiến Máy ảo Erlang rơi vào tình trạng hết bộ nhớ.
Vấn đề này ảnh hưởng đến cowboy từ phiên bản 2.0.0-pre.4 trở đi trước 2.18.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.