PT-2026-65435
CVE-2026-59248
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات cowlib من 2.0.0 حتى 2.18.x
الوصف
يمكن لأحد الأقران عن بُعد غير المصادق عليه عبر بروتوكول HTTP/2 أو HTTP/3 أن يتسبب في حدوث هجوم «رفض الخدمة» (DoS) عن طريق استنفاد الذاكرة على الخادم أو العميل. توجد المشكلة في وحدة فك الترميز للأعداد الصحيحة المسبوقة ببادئة HPACK و QPACK
cow hpack common:dec big int/3 (التي يتم استدعاؤها من cow hpack:decode/2 و cow qpack:decode field section/3)، والتي تفشل في فرض قيود على عدد بايتات الاستمرار، أو عرض البت الناتج، أو القيمة النهائية. نظرًا لأن الأعداد الصحيحة في Erlang غير قابلة للتغيير، فإن كل تحديث يخصص عددًا كبيرًا جديدًا (bignum)، مما يؤدي إلى تخصيص مؤقت للذاكرة يتزايد تبعًا للتربيع بالنسبة إلى الطول المشفر. يمكن لتمثيل مفهرس HPACK واحد بأقصى حجم داخل إطارات HTTP/2 HEADERS و CONTINUATION أن يؤدي إلى تخصيص مئات الميغابايت من الذاكرة وعمليات إزالة القمامة، مما قد يؤدي إلى استنفاد ذاكرة Erlang VM عند استخدام اتصالات متكررة أو متزامنة.التوصيات
تحديث cowlib إلى الإصدار 2.19.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾