CVE-2026-70399

Erlang/OTP inets httpd bileşenindeki Sınırlandırma veya Kontrol Olmaksızın Kaynak Tahsisi zafiyeti, kimliği doğrulanmamış bir uzak saldırganın çok sayıda bağlantı açıp bunları açık tutarak hizmet reddine (DoS) neden olmasına olanak tanır. max_clients seçeneğinin varsayılan değerinin 150 olduğu belgelenmiştir ve inets sıkılaştırma kılavuzu bu sınırı hizmet reddi savunmasının ilk katmanı olarak sunmaktadır; ancak bu değeri açıkça belirlemeyen bir sunucu sınırsız sayıda eşzamanlı bağlantıyı kabul eder. Bağlantıların kurulması yeterlidir; geçerli bir istek veya kimlik doğrulama gerekmez. httpd_manager:handle_new_connection/4 içindeki accept kapısı, seçeneği httpd_util:lookup/2 ile okur; bu fonksiyon anahtar mevcut olmadığında, komşu get_ustate/2 tarafından kullanılan ve 150 varsayılan değerini taşıyan üç argümanlı form yerine undefined döndürür. Erlang terim sıralaması her tam sayıyı her atomun önüne yerleştirir, bu nedenle Count =< Max koruması herhangi bir bağlantı sayısı için geçerli olur ve sunucu hiçbir zaman {reject, busy} döndürmez. Kabul edilen her bağlantı, açık kaldığı sürece bir çalışan işlem (worker process) ve bir soket işgal ederek düğümü işlem, bellek ve dosya tanımlayıcı tükenmesine sürükler. max_clients değerini açıkça ayarlayan sunucular etkilenmez çünkü yapılandırılmış değer amaçlandığı gibi uygulanır. Bu sorun; OTP 17.0'dan OTP 27.3.4.17 öncesine kadar, OTP 28.0'dan OTP 28.5.0.6 öncesine kadar ve OTP 29.0'dan OTP 29.0.6 öncesine kadar olan sürümleri; buna karşılık gelen inets 5.10'dan 9.3.2.7 öncesine, 9.4'ten 9.6.2.3 öncesine ve 9.7'den 9.7.2 öncesine kadar olan sürümleri etkilemektedir.