CVE-2026-47077
Açıklama
benoitc hackney ürünündeki Sınırlandırılmamış veya Kontrolsüz Kaynak Tahsisi zafiyeti, Flooding saldırılarına olanak tanımaktadır. hackney_h3:await_response_loop/6, HTTP/3 yanıt gövdesini herhangi bir boyut sınırı olmaksızın bellekte biriktirmektedir. After Timeout ifadesi, alınan her veri parçası, bakım mesajı veya ayarlar çerçevesinde sıfırlanan mesaj başına bir hareketsizlik zamanlayıcısıdır; gerçek zamanlı bir son teslim tarihi değildir. Her Timeout - 1 ms sürede bir Fin = false ile küçük bir parça gönderen ve hiçbir zaman nihai bir çerçeve göndermeyen kötü niyetli bir HTTP/3 sunucusu, biriktirme tamponu sınırsız şekilde doğrusal olarak büyürken döngüyü süresiz olarak açık tutar; bu durum sonunda BEAM işlem yığınını tüketerek bellek yetersizliği (out-of-memory) durumuna yol açar. Bu sorun, 2.0.0'dan 4.0.1 öncesine kadar olan hackney sürümlerini etkilemektedir.
Nasıl düzeltilir
- benoitc hackney4.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| benoitc hackney | 2.0.0 ≤ v < 4.0.1 | 4.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.