PT-2026-123295
CVE-2026-109584
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
bandit الإصدارات من 0.3.3 إلى 1.13.x
Description
يمكن لمهاجم عن بُعد غير مصرح له التسبب في استنفاد ذاكرة الخادم من خلال مشكلة تضخيم البيانات في تنفيذ HTTP/2. من خلال إرسال كتلة HEADERS صغيرة مضغوطة باستخدام HPACK تخزن قيمة
cookie كبيرة في جدول HPACK الديناميكي وتشير إليها عشرات الآلاف من المرات، يمكن للمهاجم إجبار الخادم على تخصيص ملف ثنائي ضخم. يحدث هذا لأن Bandit.HTTP2.Connection يحدد فقط حجم الكتلة المضغوطة عبر max header block size بينما القيمة الافتراضية لإعداد max header list size هي :infinity مما يؤدي إلى عدم رفض القائمة الموسعة. بعد ذلك، تقوم الدالة combine cookie crumbs/1 في lib/bandit/http2/stream.ex بدمج هذه المراجع في ملف ثنائي واحد كبير. وبما أن max concurrent streams لها القيمة الافتراضية :infinity أيضاً، يمكن لعدة تدفقات متزامنة مضاعفة استهلاك الذاكرة هذا، مما قد يؤدي إلى تعطل جميع التطبيقات على عقدة BEAM.Recommendations
تحديث bandit إلى الإصدار 1.14.0 أو إصدار أحدث.
كإجراء مؤقت للإصدارات 1.12.2 وما بعدها، قم بتعيين حد نهائي لقائمة الرؤوس المفكوكة عن طريق تكوين
http 2 options: [default local settings: [max header list size: 65 536]].
كإجـراء مؤقت للإصدارات 0.7.0 وما بعدها، قم بتعطيل HTTP/2 عن طريق تكوين http 2 options: [enabled: false]. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾