CVE-2026-69664

Nome do Software Vulnerável e Versões Afetadas Erlang/OTP versões 18.1.4 até 27.3.4.16 Erlang/OTP versões 28.0 até 28.5.0.5 Erlang/OTP versões 29.0 até 29.0.5

Description Um vazamento de recurso no módulo inets httpd permite que um invasor remoto não autenticado cause a negação de serviço. Ao enviar uma requisição com um corpo fragmentado (chunked) onde a linha de tamanho do fragmento não é um número hexadecimal, e garantindo que esta linha chegue em uma gravação separada dos cabeçalhos, o invasor pode fazer com que o worker que atende a conexão fique travado. Especificamente, a função httpd request handler:handle info/2 converte um erro de http chunk:decode size/4 em um valor de retorno, fazendo com que o worker aguarde indefinidamente por dados que nunca chegam. Como o tempo limite da requisição é cancelado após a aceitação dos cabeçalhos e a verificação de taxa de bytes é desativada por padrão, a repetição desta requisição em múltiplas conexões pode ocupar todos os workers disponíveis, negando o serviço a clientes legítimos.

Recommendations Atualize o Erlang/OTP para a versão 27.3.4.17 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.6 ou posterior. Atualize o Erlang/OTP para a versão 29.0.6 ou posterior. Configure minimum bytes per second na configuração do httpd para um valor positivo, como {minimum bytes per second, 200}, para ativar a verificação periódica de taxa de bytes que recupera workers travados. Posicione um proxy reverso à frente do httpd para validar a codificação de transferência fragmentada e rejeitar formatações de fragmentos malformadas. Restrinja o acesso ao servidor apenas a clientes confiáveis.