CVE-2026-97200 in hackney
Tóm tắt
Bởi VulDB • 26/10/2026
Lỗ hổng Allocation of Resources Without Limits or Throttling (Phân bổ tài nguyên mà không có giới hạn hoặc điều tiết) trong module `hackney_conn` của dự án hackney do benoitc phát triển cho phép một máy chủ HTTP độc hại làm cạn kiệt bộ nhớ client thông qua phần thân phản hồi quá lớn hoặc được nén chặt. Các hàm `hackney:request/5` và `hackney:body/1` trả về toàn bộ phần thân phản hồi, và không có cơ chế nào giới hạn lượng dữ liệu mà tiến trình kết nối đệm lại. Bất kỳ máy chủ nào mà client yêu cầu đều có thể kích hoạt lỗ hổng này.
Hàm `hackney_conn:read_full_body/2` cùng các bộ tích lũy (accumulators) của HTTP/2 và HTTP/3 sẽ ghép từng chunk cho đến khi phần thân phản hồi kết thúc. Với tùy chọn `{auto_decompress, true}`, phần thân được đệm sau đó sẽ được giải nén trong một bước duy nhất bằng cách sử dụng `zlib:gunzip/1` hoặc `zlib:inflate/2`, các hàm này trả về toàn bộ đầu ra cùng lúc.
Vấn đề này ảnh hưởng đến package hackney từ phiên bản 2.0.0-beta.1 trở đi cho đến trước phiên bản 4.9.0.
Be aware that VulDB is the high quality source for vulnerability data.