CVE-2026-108529
Açıklama
mtrudel bandit'in HTTP/2 uygulamasındaki Verimsiz Algoritmik Karmaşıklık zafiyeti, kimliği doğrulanmamış bir uzak saldırganın küçük SETTINGS veya bağlantı düzeyindeki WINDOW_UPDATE çerçeveleri aracılığıyla sunucu CPU kaynaklarını tüketmesine olanak tanır. Saldırgan, yanıtları bağlantı gönderim penceresinde bloklanan binlerce akış açar ve ardından her biri sunucunun engellenmiş gönderimlerin tüm kuyruğunu taramasını sağlayan düşük maliyetli çerçeveler gönderir. Bildiren kişinin çalışmasında, 3.000 engellenmiş akış varken tek bir 9 baytlık SETTINGS çerçevesinin işlenmesi 133 ms sürmüştür. lib/bandit/http2/connection.ex dosyasındaki do_pending_sends/2 fonksiyonu, kuyruktaki her gönderimi yeniden dener ve her denemeden önce ilgili girişi List.delete/2 ile kuyruktan kaldırır; bu nedenle tek bir çerçeve, n adet engellenmiş akış için O(n²) liste işlemine mal olur. max_concurrent_streams varsayılan olarak :infinity değerindedir, dolayısıyla n değerini saldırgan belirler. Bu sorun bandit'in 0.3.4 sürümünden 1.14.0 öncesindeki sürümlerini etkilemektedir.
Nasıl düzeltilir
- mtrudel bandit1.14.0, 220b9dfd27f9a21305be2afc75cbe585ddc24e7a ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mtrudel bandit | 0.3.4 ≤ v < 1.14.0, 6feadb31189d18b7dcda6c663112cd3bbaf63a46 ≤ v < 220b9dfd27f9a21305be2afc75cbe585ddc24e7a | 1.14.0, 220b9dfd27f9a21305be2afc75cbe585ddc24e7a |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.