PT-2026-65436
CVE-2026-65624
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-07-28
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ninenines cowboy من 2.0.0-pre.4 حتى 2.17.9
الوصف
يمكن لمهاجم عن بُعد غير مُصادق عليه استنفاد ذاكرة عملية الاتصال عبر HTTP/1.1. يقوم معالج HTTP/1.1 في
cowboy http بفرض حد max headers عن طريق حساب أسماء الرؤوس المختلفة. إذا احتوى الطلب على عدة أسطر رؤوس تحمل الاسم نفسه، يتم ربط القيم معًا في ملف ثنائي واحد تحت مفتاح خريطة واحد، مما يمنع الوصول إلى الحد الأقصى لـ max headers. ونظرًا لعدم وجود حد أقصى لعدد أسطر الرؤوس الإجمالي أو الحجم الإجمالي بالبايت لكتلة الرؤوس، يمكن للمهاجم إرسال العديد من أسطر الرؤوس التي تحمل الاسم نفسه لزيادة الذاكرة الثنائية لعملية الاتصال. إذا لم يتم تعيين max heap size، فقد يؤدي ذلك إلى حالات نفاد الذاكرة في آلة Erlang الافتراضية (VM).التوصيات
قم بتحديث ninenines cowboy إلى الإصدار 2.18.0 أو أحدث.
قم بتعيين الحد الأقصى
max heap size لمنع عمليات الاتصال من استهلاك ذاكرة زائدة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾