CVE-2026-92103 in mint
Tóm tắt
Bởi VulDB • 28/09/2026
Lỗ hổng Allocation of Resources Without Limits or Throttling (Phân bổ tài nguyên mà không có giới hạn hoặc kiểm soát) trong elixir-mint cho phép một máy chủ HTTP/2 độc hại khiến client giữ lại tới khoảng 16 MiB trên mỗi kết nối thông qua các khung dữ liệu (frames) mà lẽ ra phải bị từ chối, dẫn đến việc tiêu thụ bộ nhớ của client.
Hàm `Mint.HTTP2.Frame.decode_next/2` trong file `lib/mint/http2/frame.ex` chỉ so sánh một frame với giá trị `max_frame_size` của client (mặc định là 16.384 byte) sau khi toàn bộ payload đã được khai báo đã đến đủ. Cho đến lúc đó, hàm trả về trạng thái `:more`, và `Mint.HTTP2` giữ lại mọi byte nhận được trong buffer kết nối. Một máy chủ có thể khai báo độ dài frame lên tới 16.777.215 byte và withhold (giữ lại) byte cuối cùng, khiến khoảng 1.024 lần giới hạn đã quảng cáo bị đệm đi trong thời gian kết nối còn mở. Máy chủ phải gửi từng byte mà client đang buffer hóa, do đó không có hiện tượng khuếch đại (amplification), và bộ đệm sẽ dừng lại ở giới hạn độ dài frame 24-bit.
Vấn đề này ảnh hưởng đến mint: từ phiên bản 0.1.0 trước 1.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.