Tr3Bor

Um servidor HTTP remoto pode causar a negação de serviço ao esgotar a memória no host cliente. Isso ocorre porque dois estados do analisador de resposta HTTP/1 acumulam dados do servidor sem limites. Especificamente, a função `decode status line/4` armazena dados não consumidos em `conn.buffer` quando a linha de status está incompleta, e a função `decode body/5` faz o mesmo para uma linha de extensão de chunk não terminada. Ambas as funções aguardam uma sequência CRLF (Carriage Return Line Feed) que um servidor malicioso pode nunca enviar, fazendo com que `conn.buffer` seja prefixado a cada mensagem de socket subsequente. Embora exista um orçamento via `:max header list size`, ele se aplica apenas a `decode headers/5` e `decode trailer headers/4`, deixando esses dois estados desprotegidos. Um invasor pode transmitir bytes indefinidamente até que o nó BEAM seja encerrado pelo manipulador de falta de memória do sistema operacional. No caso de extensões de chunk, o ataque ocorre após uma linha de status e seção de cabeçalho válidas, podendo ignorar intermediários que inspecionam apenas os cabeçalhos.

Um problema de complexidade algorítmica ineficiente permite que um servidor HTTP remoto esgote os recursos de CPU no host cliente, resultando em uma negação de serviço. A função `parse hex prefix/2` em `lib/mint/http1/parse.ex` processa dígitos hexadecimais do campo de tamanho de chunk de uma resposta fragmentada usando um acumulador de precisão arbitrária sem limitar a contagem de dígitos. Isso resulta em uma complexidade de tempo O(N ao quadrado) para processar N dígitos. Além disso, a função `handle data/2` anexa o `conn.buffer` e reinicia a análise do início a cada mensagem de socket, o que pode ser explorado por um servidor que envia dígitos em pacotes pequenos para disparar repetidamente o alto custo de CPU. Esse estado é alcançado após uma linha de status e uma seção de cabeçalho válidas, podendo contornar intermediários que inspecionam apenas os cabeçalhos.