PT-2026-123294
CVE-2026-108529
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
bandit الإصدارات من 0.3.4 إلى 1.13.x
Description
تسمح مشكلة في التعقيد الخوارزمي غير الفعال في تنفيذ HTTP/2 لمهاجم عن بُعد غير مصرح له باستنفاد موارد وحدة المعالجة المركزية (CPU) للخادم. من خلال فتح آلاف التدفقات التي تحظر نافذة إرسال الاتصال، ثم إرسال إطارات SETTINGS صغيرة أو إطارات WINDOW UPDATE على مستوى الاتصال، يمكن للمهاجم إجبار الخادم على إجراء عمليات قائمة تربيعية O(n²). يحدث هذا لأن الدالة
do pending sends/2 في lib/bandit/http2/connection.ex تعيد محاولة كل إرسال في الانتظار وتزيل الإدخالات باستخدام List.delete/2 مما يجعل الخادم يمر عبر قائمة الإرسالات المحظورة بالكامل لكل إطار. يتفاقم هذا التأثير لأن القيمة الافتراضية لـ max concurrent streams هي :infinity مما يسمح للمهاجم بالتحكم في عدد التدفقات المحظورة.Recommendations
التحديث إلى الإصدار 1.14.0 أو أحدث.
كإجراء مؤقت للإصدارات 1.9.0 وما بعدها، قم بتقييد عدد التدفقات التي يمكن للعميل فتحها عن طريق تكوين
http 2 options: [default local settings: [max concurrent streams: 100]].
كإجـراء مؤقت للإصدارات 0.7.0 وما بعدها، قم بتعطيل HTTP/2 عن طريق تكوين http 2 options: [enabled: false]. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾