PT-2026-146942
CVE-2026-123635
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
elixir-grpc grpc server الإصدارات من 1.0.0 إلى 1.0.9
Description
يحدث تسرب في الموارد في الدالة
grpc stream h (grpc server/src/grpc stream h.erl) عندما يرفض الخادم مكالمة مبكرًا، على سبيل المثال عندما تكون الطريقة غير مفعلة أو يتجاوز جسم الطلب المتغير max body size. في هذه الحالات، يقوم Cowboy بإسقاط إطارات DATA التي لا تزال قيد النقل دون إعادة بايتاتها إلى نافذة التحكم في تدفق الاتصال. نتيجة لذلك، تفرغ نافذة الاتصال في النهاية، مما يؤدي إلى توقف جميع المكالمات اللاحقة على اتصال HTTP/2 المشترك هذا والانتظار حتى انتهاء مهلتها الزمنية. تؤثر هذه المشكلة فقط على الاتصال المشترك المحدد ولا تؤثر على الاتصالات الأخرى.Recommendations
تحديث elixir-grpc grpc server إلى الإصدار 1.1.0.
كإجراء مؤقت، قم بتنفيذ معالج تدفق Cowboy أمام
grpc stream h باستخدام خيار المحول stream handlers: [MyHandler, :grpc stream h]. في الدالة init/3 ، يجب أن يستدعي المعالج :cowboy stream.init/3 ويصدر أمر {:flow, size} عندما يكون للطلب جسم، حيث يمثل size قيمة max frame size received الخاصة بـ Cowboy.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾