CVE-2026-109584

Nome do Software Vulnerável e Versões Afetadas bandit versões 0.3.3 até 1.13.x

Description Um invasor remoto não autenticado pode causar o esgotamento da memória do servidor através de um problema de amplificação de dados na implementação do HTTP/2. Ao enviar um bloco HEADERS pequeno comprimido via HPACK que armazena um valor de cookie grande na tabela dinâmica HPACK e o referencia milhares de vezes, o invasor pode forçar o servidor a alocar um binário massivo. Isso ocorre porque Bandit.HTTP2.Connection limita apenas o tamanho do bloco comprimido através de max header block size, enquanto a configuração max header list size tem como padrão :infinity, não rejeitando a lista expandida. A função combine cookie crumbs/1 em lib/bandit/http2/stream.ex então une essas referências em um único binário grande. Como max concurrent streams também tem como padrão :infinity, múltiplos fluxos simultâneos podem multiplicar esse consumo de memória, potencialmente derrubando todas as aplicações no nó BEAM.

Recommendations Atualize o bandit para a versão 1.14.0 ou posterior. Como solução temporária para versões 1.12.2 e posteriores, defina um limite finito para a lista de cabeçalhos decodificados configurando http 2 options: [default local settings: [max header list size: 65 536]]. Como solução temporária para versões 0.7.0 e posteriores, desative o HTTP/2 configurando http 2 options: [enabled: false].