CVE-2026-71380

Nome do Software Vulnerável e Versões Afetadas Erlang/OTP versões 17.0 até 27.3.4.16 Erlang/OTP versões 28.0 até 28.5.0.5 Erlang/OTP versões 29.0 até 29.0.5

Description Um vazamento de recurso no componente inets httpd permite que um invasor remoto não autenticado cause a negação de serviço. Ao enviar cabeçalhos de requisição válidos com um Content-Length elevado e interromper o envio antes que o corpo esteja completo, um invasor pode deixar os processos trabalhadores em espera indefinidamente. Isso ocorre porque a função httpd request handler:handle info/2 cancela o tempo limite da requisição após a análise dos cabeçalhos, e a função httpd request:whole body/2 não define um novo temporizador quando mais dados são necessários. Como a verificação minimum bytes per second vem desativada por padrão, repetir essa ação em múltiplas conexões pode esgotar todos os trabalhadores permitidos por max clients, bloqueando o tráfego legítimo.

Recommendations Atualize o Erlang/OTP para a versão 27.3.4.17 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.6 ou posterior. Atualize o Erlang/OTP para a versão 29.0.6 ou posterior. Configure minimum bytes per second na configuração do httpd (ex: {minimum bytes per second, 200}) para ativar a verificação periódica de taxa de bytes. Implemente um proxy reverso à frente do httpd para impor tempos limite de leitura de corpo. Restrinja o acesso ao servidor apenas a clientes confiáveis.