- Yama var
- Son 7 gün
- CWE-444
CVE-2026-114216
Bandit HTTP/1.1 parçalı gövde okuyucusunda chunk uzantıları çıplak LF ve CR kabul ediyor, istek smuggling'e yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
Bandit'in mtrudel tarafından geliştirilen HTTP/1.1 parçalı (chunked) gövde okuyucusundaki HTTP isteklerinin tutarsız yorumlanmasından kaynaklanan ('HTTP Request/Response Smuggling') bir güvenlik açığı, kimlik doğrulaması yapılmamış uzak bir saldırganın ön uçtaki bir proxy'yi aşarak ikinci bir isteği smuggle etmesine olanak tanır. Saldırgan, çıplak LF içeren bir chunk uzantısı kullanır. lib/bandit/http1/socket.ex dosyasındaki parçalı okuyucu, chunk boyutu satırını ilk CRLF'ye kadar olan her şey olarak kabul eder ve ; karakterinden sonrasını RFC 9112 chunk-ext grammar'ına göre denetlemeden atar; bu nedenle çıplak LF, çıplak CR ve diğer kontrol baytları geçer. Boyut satırını çıplak LF'de sonlandıran bir proxy, 2;\nxx\r\n40\r\n... dizisini ikinci parçasında GET /admin bulunan tek bir istek olarak okurken, Bandit gövdeyi erken sonlandırır ve GET /admin'i ayrı bir pipelined istek olarak işler. Bandit'in önünde böyle bir proxy bulunmayan dağıtımlar etkilenmez.
Bu sorun, sürümü 1.12.4 ile 1.14.0 öncesi arasındaki bandit ürününü etkiler.
Kaynaktaki açıklama (İngilizce)
Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') vulnerability in the HTTP/1.1 chunked body reader of mtrudel bandit allows an unauthenticated remote attacker to smuggle a second request past a front-end proxy via a chunk extension that contains a bare LF.
The chunked reader in lib/bandit/http1/socket.ex takes the chunk-size line to be everything up to the first CRLF and discards everything after ; without checking it against the RFC 9112 chunk-ext grammar, so bare LF, bare CR and other control bytes pass. A proxy that ends the size line at a bare LF reads 2;\nxx\r\n40\r\n... as one request whose second chunk holds a GET /admin, while Bandit ends the body early and dispatches GET /admin as a separate pipelined request. Deployments without such a proxy in front of Bandit are not affected.
This issue affects bandit: from 1.12.4 before 1.14.0.
Üreticinin geçici önlemi (İngilizce)
Where the front-end proxy can reach Bandit over HTTP/2, disable HTTP/1 with http_1_options: [enabled: false], so that the chunked body reader never runs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mtrudel bandit | ≥ 1.12.4, < 1.14.0 | 1.14.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…bandit/security/advisories/GHSA-w5wc-g2hc-g7m2 Üretici bülteni
- github.com/…ommit/220b9dfd27f9a21305be2afc75cbe585ddc24e7a Yama
- cna.erlef.org/cves/CVE-2026-114216.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-114216 Diğer
- github.com/…ommit/c31e9e3c76dcbfc239a96eabed5341ced7885ae5 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.