CVE-2026-74836

mtrudel bandit proqramındakı Resursların Limitlənmədən və ya Tənzimlənmədən Ayırılması zəifliyi, autentifikasiya olunmamış uzaq hücumçuya bağlantı səviyyəli axın idarəetməsi vasitəsilə məhdudiyyətsiz sayda HTTP/2 axın proseslərini qeyri-müəyyən müddətə dondurmağa imkan verir. Axının cavab gövdəsi HTTP/2 bağlantı səviyyəli göndərmə pəncərəsini (bütün axınlar arasında paylaşılmış standart 65,535 bayt) aşdıqda, Bandit.HTTP2.Connection qalan baytları və cavab bağlanmasını pending_sends bölməsində növbəyə düzür və axın prosesi bağlantı prosesinə edilən sinxron çağırış daxilində əbədi olaraq bloklanır. Bu gözləməni məhdudlaşdıran heç bir mexanizm yoxdur və növbə təmizlənmir: bloklanmış axın üçün müştəri tərəfindən göndərilən RST_STREAM onun poçt qutusuna çatdırılır, lakin çağırış daxilində ilişib qaldığı üçün heç vaxt oxunmur, buna görə də ləğv etmək heç nəyi azad etmir və dövri PING kadrları nəqliyyat səviyyəli oxuma taym-autunun işə düşməsinin qarşısını alır. Axın səviyyəli göndərmə pəncərəsinə dair ekvivalent bloklama artıq 15 saniyə ilə məhdudlaşdırılıb; bağlantı səviyyəli yolda isə belə bir məhdudiyyət mövcud deyildi. Hər bir dayandırılmış axın öz prosesini, Plug vəziyyətini və bloklanmış yazma əməliyyatı boyunca Plug-ın saxladığı hər hansı resursu (məsələn, reverse-proxy Plug-dakı hovuzlaşdırılmış yuxarı axın bağlantısını) tutur. Hücumçu cavabı bağlantı pəncərəsini aşan istənilən son nöqtəni seçir (əksər mürəkkəb yüklər üçün adi haldır), yalnız bağlantı pəncərəsinin onu məhdudlaşdırması üçün geniş axın səviyyəli pəncərə təyin edir və dövri PING-lərlə bağlantını aktiv saxlayır; bu primitiv, hər biri üçün bir boş soket hesabına axınlar və bağlantılar üzrə təkrar oluna bilir. Bu problem bandit versiya 0.3.4-dən 1.12.5-ə qədər olan versiyalara təsir edir.