CVE-2026-108529

Nome do Software Vulnerável e Versões Afetadas bandit versões 0.3.4 até 1.13.x

Description Um problema de complexidade algorítmica ineficiente na implementação do HTTP/2 permite que um invasor remoto não autenticado esgote os recursos de CPU do servidor. Ao abrir milhares de fluxos que bloqueiam na janela de envio da conexão e, subsequentemente, enviar pequenos quadros SETTINGS ou WINDOW UPDATE no nível da conexão, um invasor pode forçar o servidor a realizar operações de lista quadráticas O(n²). Isso ocorre porque a função do pending sends/2 em lib/bandit/http2/connection.ex tenta reenviar cada envio enfileirado e remove entradas usando List.delete/2, fazendo com que o servidor percorra toda a fila de envios bloqueados para cada quadro. O impacto é amplificado porque o max concurrent streams tem como padrão :infinity, permitindo que o invasor controle o número de fluxos bloqueados.

Recommendations Atualize para a versão 1.14.0 ou posterior. Como solução temporária para versões 1.9.0 e posteriores, limite o número de fluxos que um cliente pode abrir configurando http 2 options: [default local settings: [max concurrent streams: 100]]. Como solução temporária para versões 0.7.0 e posteriores, desative o HTTP/2 configurando http 2 options: [enabled: false].