- Yama var
- Son 7 gün
- CWE-409
- CWE-770
CVE-2026-97200
hackney kütüphanesinde yanıt gövdesinin sınırsız arabelleğe alınması ve açılması bellek tüketimine yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
ÖzetTürkçe
hackney_conn bileşenindeki kaynak ayırma sınırlandırılmamış (CWE-409, CWE-770) bir zafiyet nedeniyle, kötü niyetli bir HTTP sunucusu büyük veya yüksek oranda sıkıştırılmış bir yanıt gövdesi göndererek istemci belleğini tüketebilir. hackney:request/5 ve hackney:body/1 fonksiyonları tüm yanıt gövdesini döndürür ve bağlantı sürecinin ne kadar veri arabelleğe aldığına dair bir sınır yoktur. İstemcinin istek gönderdiği herhangi bir sunucu bu saldırıyı tetikleyebilir.
hackney_conn:read_full_body/2 ile HTTP/2 ve HTTP/3 birikimcileri, gövde sona erene kadar her parçayı ekler. {auto_decompress, true} ayarı etkinken, arabelleğe alınmış gövde zlib:gunzip/1 veya zlib:inflate/2 ile tek adımda açılır ve bu fonksiyonlar çıktının tamamını bir seferde döndürür.
Bu sorun, 2.0.0-beta.1 sürümünden 4.9.0 sürümü öncesine kadar olan hackney sürümlerini etkiler. CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N (8.2, YÜKSEK) vektörüne sahiptir. Satıcı geçici çözümü: auto_decompress seçeneğini devre dışı bırakın (varsayılan budur). Bu seçenek kapalıyken hackney_conn:maybe_decompress_body/2 gövdeyi hiçbir zaman açmaz ve bu da güçlendirme yarısını kapatır. Sınırsız ham gövde okuma sorunu için bir geçici çözüm yoktur.
Kaynaktaki açıklama (İngilizce)
Allocation of Resources Without Limits or Throttling vulnerability in hackney_conn in benoitc hackney allows a malicious HTTP server to exhaust client memory via an oversized or highly compressed response body. hackney:request/5 and hackney:body/1 return the whole response body, and nothing bounds how much the connection process buffers. Any server the client requests can trigger it.
hackney_conn:read_full_body/2 and the HTTP/2 and HTTP/3 accumulators append every chunk until the body ends. With {auto_decompress, true} the buffered body is then inflated in one step with zlib:gunzip/1 or zlib:inflate/2, which return the whole output at once.
This issue affects hackney: from 2.0.0-beta.1 before 4.9.0.
Üreticinin geçici önlemi (İngilizce)
Leave auto_decompress disabled (the default). Without it hackney_conn:maybe_decompress_body/2 never inflates the body, which closes the amplification half. The uncapped raw body read has no workaround.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| benoitc hackney | ≥ 2.0.0-beta.1, < 4.9.0 | 4.9.0 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/benoitc/hackney/releases/tag/4.9.0 Üretici bülteni
- github.com/…ommit/493e8bf83a391548e5101792276ab3fc428fa76c Yama
- cna.erlef.org/cves/CVE-2026-97200.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-97200 Diğer
- github.com/benoitc/hackney/pull/980 Diğer
- github.com/…ommit/dc41b79339ca0c41e16d3f2dd17172bc2de855d6 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.