CVE-2026-42786
Təsvir
mtrudel bandit proqramındakı Resursların Limitlənmədən və ya Tənzimlənmədən Ayırılması zəifliyi, autentifikasiya olunmamış uzaq istifadəçinin yaddaşın tükəndirilməsi yolu ilə xidmətdən imtinaya (DoS) səbəb olmasına imkan verir. lib/bandit/websocket/connection.ex faylındakı 'Elixir.Bandit.WebSocket.Connection':handle_frame/3 fraqmentlərin yenidən birləşdirilməsi yolu, daxil olan hər bir Continuation{fin: false} freymin yükünü ümumi ölçü limiti olmadan hər bağlantıya aid iolist-ə əlavə edir. Mövcud max_frame_size seçimi yalnız fərdi freymləri məhdudlaşdırır; fin=1 təyin etmədən limitsiz sayda davam etdirmə freymləri göndərən qarşı tərəf, Əməliyyat Sistemi və ya supervayzer prosesi dayandırana qədər BEAM heap-ini xətti şəkildə artırır. Təkləmə prosesi WebSock.handle_in/2 çağırılmadan əvvəl baş verdiyi üçün tətbiqin ölçü yoxlamasını yerləşdirmək imkanı olmur. Phoenix Channels və LiveView hər ikisi Bandit üzərində WebSock vasitəsilə işləyir, buna görə də standart Phoenix tətbiqi soket bağlantılarını qəbul etdiyi andan etibarən bu riskə məruz qalır. Bu problem bandit versiya 0.5.0-dan başlayaraq 1.11.0-a qədər olan versiyalara təsir edir.
Necə düzəltmək olar
- mtrudel bandit1.11.0, 21612c7c7b1ce43eccd36d3af3a2299d23513667 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mtrudel bandit | 0.5.0 ≤ v < 1.11.0, 8909391f486d42138c5308410bc5ea49a65f4d46 ≤ v < 21612c7c7b1ce43eccd36d3af3a2299d23513667 | 1.11.0, 21612c7c7b1ce43eccd36d3af3a2299d23513667 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.