CVE-2026-115701
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach Ninenines Cowboy dotycząca alokacji zasobów bez ograniczeń lub ograniczania przepustowości umożliwia nieuwierzytelnionemu zdalnemu atakującemu wyczerpanie pamięci procesu połączenia za pośrednictwem protokołu HTTP/1.1.
Gdy żądanie zostanie odebrane w całości, a jego procedura obsługi nadal działa, cowboy_http:parse/2 w src/cowboy_http.erl dołącza każdy kolejny bajt, który pojawia się w połączeniu podtrzymującym, do bufora połączenia i wraca do pętli odbiorczej bez jego analizowania. Gniazdo pozostaje w trybie aktywnym i do tego bufora nie mają zastosowania żadne ograniczenia: max_request_line_length, max_headers i inne limity analizatora zaczynają obowiązywać dopiero po powrocie procedury obsługi i wznowieniu analizowania, a jedynym licznikiem czasu w tym stanie jest idle_timeout (domyślnie 60 sekund), który jest resetowany przy każdym odebranym fragmencie. Klient może zatem wysłać dowolną ilość danych jednym połączeniem tak długo, jak działa procedura obsługi, a kilka połączeń z punktem końcowym, który wstrzymuje otwarte żądania, może doprowadzić maszynę wirtualną Erlang do stanu braku pamięci.
Ten problem dotyczy kowboja: od wersji 2.18.0 i nowszych.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org