CVE-2026-70399

Nome do Software Vulnerável e Versões Afetadas Erlang/OTP versões 17.0 até 27.3.4.16 Erlang/OTP versões 28.0 até 28.5.0.5 Erlang/OTP versões 29.0 até 29.0.5 inets versões 5.10 até 9.3.2.6 inets versões 9.4 até 9.6.2.2 inets versões 9.7 até 9.7.1

Description Um invasor remoto não autenticado pode causar a negação de serviço ao abrir e manter um grande número de conexões. Isso ocorre porque a opção max clients, que documentadamente deveria ter um padrão de 150, não é aplicada se não for definida explicitamente, permitindo um número ilimitado de conexões simultâneas. O problema reside na função httpd manager:handle new connection/4, que utiliza httpd util:lookup/2 para ler a opção. Quando a chave está ausente, ela retorna undefined, fazendo com que a guarda de conexão seja sempre verdadeira. Consequentemente, cada conexão consome um processo trabalhador e um socket, levando ao esgotamento de processos, memória e descritores de arquivo.

Recommendations Atualize o Erlang/OTP para a versão 27.3.4.17 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.6 ou posterior. Atualize o Erlang/OTP para a versão 29.0.6 ou posterior. Atualize o inets para a versão 9.3.2.7 ou posterior. Atualize o inets para a versão 9.6.2.3 ou posterior. Atualize o inets para a versão 9.7.2 ou posterior. Defina max clients explicitamente na configuração do httpd, como {max clients, 150}. Limite as conexões simultâneas usando um proxy reverso ou regras de contagem e taxa de conexão de firewall. Restrinja o acesso ao servidor a clientes confiáveis onde for possível.