CVE-2026-105659
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach mtrudel bandit związana z niekontrolowanym zużyciem zasobów umożliwia nieuwierzytelnionemu zdalnemu atakującemu przypinanie procesów strumieniowych HTTP/2 na czas nieokreślony za pomocą strużki małych ramek WINDOW_UPDATE. Strumień, którego odpowiedź przekracza bloki okna połączenia lub wysyłania strumienia, dopóki element równorzędny nie przyzna więcej okna, a każdy blok ma 15-sekundowy termin. Obydwa terminy rozpoczynają się od nowa, gdy partner dokona częściowego postępu. Bandit.HTTP2.Connection.finish_data/5 ponownie kolejkuje częściowo zaawansowaną wysyłkę w pending_sends z nowym wygaśnięciem_at, więc każde WINDOW_UPDATE w strumieniu 0 i każda ramka SETTINGS resetuje zegar. Bandit.HTTP2.Stream.send_data/3 powtarza się przy każdym strumieniu WINDOW_UPDATE i ponownie uzbraja po upływie limitu czasu odczytu. Element równorzędny, który przyznaje kilka bajtów co kilka sekund, utrzymuje zablokowany proces strumienia, jego stan wtyczki i wszelkie zasoby, które przechowuje w połowie odpowiedzi, tak długo, jak długo kapie, i powtarza to w strumieniach i połączeniach, aby wyczerpać procesy i pamięć serwera.
Obie ścieżki są niezależne. Blok na poziomie strumienia jest osiągany samodzielnie poprzez poszerzenie okna połączenia o dużą wartość WINDOW_UPDATE w strumieniu 0 i zmniejszenie okna na strumień o małą wartość SETTINGS_INITIAL_WINDOW_SIZE, więc zamknięcie tylko ścieżki na poziomie połączenia pozostawia możliwość wykorzystania tej ścieżki.
Ten problem dotyczy bandita: od wersji 1.4.0 i nowszych.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-105659.html
- https://github.com/mtrudel/bandit/commit/d88b21953c65061f21136ea76a89a4f95a2ac7a1
- https://github.com/mtrudel/bandit/commit/fff06efe3be962b484bd4d3eb339372fda5a231f
- https://github.com/mtrudel/bandit/security/advisories/GHSA-69m6-wcv4-rwcf
- https://osv.dev/vulnerability/EEF-CVE-2026-105659
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org