- Yama var
- Son 7 gün
- CWE-407
CVE-2026-113436
Bandit'te Content-Length ve Host port değerlerinin karesel maliyetli ayrıştırılması CPU tüketimine yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
Bandit'in başlık tamsayı ayrıştırıcısında, kimlik doğrulaması yapılmamış uzak bir saldırganın binlerce haneden oluşan bir content-length değeri ya da Host veya :authority port değeri aracılığıyla sunucu CPU'sunu tüketebildiğini sağlayan verimsiz algoritmik karmaşıklık zafiyeti bulunmaktadır. lib/bandit/headers.ex dosyasındaki Bandit.Headers.parse_integer/2, sayıyı hane hane oluştururken hane sayısına bir sınır koymaz ve her adımda yeni bir bignum ayırır; bu nedenle tek bir değerin maliyeti uzunluğunun karesiyle orantılı olur. Ayrıştırma, aralık kontrolünden önce ham istek girdisi üzerinde HTTP/1 ve HTTP/2 üzerinden çalışır. HTTP/2'de 4.000 haneli bir değer HPACK dinamik tablosuna bir kez kaydedilip her yeni akışta yaklaşık bir baytlık trafikle yeniden gönderilebilmekte; 124 KB'lık trafik sunucuyu 27,9 saniye meşgul tutmuştur. Bu sorun, 1.0.0-pre.7 ile 1.14.0 öncesi sürümleri arasındaki bandit sürümlerini etkilemektedir. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N (8.7, YÜKSEK).
Kaynaktaki açıklama (İngilizce)
Inefficient Algorithmic Complexity vulnerability in the header integer parser of mtrudel bandit allows an unauthenticated remote attacker to consume server CPU via a content-length value or a Host or :authority port made of thousands of digits.
Bandit.Headers.parse_integer/2 in lib/bandit/headers.ex builds the number one digit at a time with no limit on the digit count, allocating a new bignum at each step, so one value costs time quadratic in its length. It runs on raw request input over HTTP/1 and HTTP/2, before any range check. Over HTTP/2, a 4,000-digit value can be stored once in the HPACK dynamic table and re-sent on each new stream for about one byte: 124 KB of traffic kept the server busy for 27.9 s.
This issue affects bandit: from 1.0.0-pre.7 before 1.14.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mtrudel bandit | ≥ 1.0.0-pre.7, < 1.14.0 | 1.14.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…bandit/security/advisories/GHSA-29cr-8477-rg6r Üretici bülteni
- github.com/…ommit/220b9dfd27f9a21305be2afc75cbe585ddc24e7a Yama
- cna.erlef.org/cves/CVE-2026-113436.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-113436 Diğer
- github.com/…ommit/e0c8c0c30af9b0f57d8aafac37ddd9294363a8be Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.