CVE-2026-105659

Nome do Software Vulnerável e Versões Afetadas bandit versões 1.4.0 e posteriores

Description O consumo descontrolado de recursos permite que um invasor remoto não autenticado mantenha processos de stream HTTP/2 indefinidamente. Ao enviar um fluxo de pequenos frames WINDOW UPDATE ou frames SETTINGS vazios, um invasor pode reiniciar o prazo de 15 segundos para processos de stream bloqueados. Isso ocorre por dois caminhos independentes: um onde Bandit.HTTP2.Connection.finish data/5 coloca novamente envios parcialmente avançados em pending sends com um carimbo de data/hora expires at atualizado, e outro onde Bandit.HTTP2.Stream.send data/3 recursa a cada WINDOW UPDATE de stream e reativa um read timeout novo. Esse comportamento mantém vivo o processo de stream bloqueado, seu estado Plug e recursos associados, podendo esgotar os processos e a memória do servidor.

Recommendations Desative o HTTP/2 definindo http 2 options: [enabled: false]. Termine o HTTP/2 em um proxy reverso que aplique seus próprios timeouts de envio e se comunique com o servidor usando HTTP/1.