p PatchFirst

CVE-2026-109584

CVE-2026-109584 · HTTP/2 cookie crumb join expands a small HPACK header block into an unbounded allocation in Bandit

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Improper Handling of Highly Compressed Data (Data Amplification) vulnerability in the HTTP/2 implementation of mtrudel bandit allows an unauthenticated remote attacker to exhaust server memory via a small HPACK-compressed HEADERS block. The block stores one large cookie value in the HPACK dynamic table and then references it tens of thousands of times with 1-byte indexed fields. In the reporter's run, a 49 KB block made a server with default settings allocate a 183 MB cookie binary before any application code ran, and every concurrent stream can repeat the cost. Bandit.HTTP2.Connection caps only the compressed block (max_header_block_size), and its check of the decoded list against max_header_list_size never fires because that setting defaults to :infinity. combine_cookie_crumbs/1 in lib/bandit/http2/stream.ex then joins every crumb into one binary. This issue affects bandit: from 0.3.3 before 1.14.0.

CVSS 8.7 · Alta · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • bandit

    Versiones
    • ≥ 0.3.3, < 1.14.0: Afectada (semver)

    Actualiza a 1.14.0

  • bandit

    Versiones
    • ≥ 44bf969cd59851622fb6ee4d16227fbc39a77fb4, < 220b9dfd27f9a21305be2afc75cbe585ddc24e7a: Afectada (git)

    Sin corrección publicada

  • bandit Ubuntu:16.04:LTS

    Versiones
    • 0.13.2-1
    • 0.13.2-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:18.04:LTS

    Versiones
    • 1.4.0-0ubuntu2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:20.04:LTS

    Versiones
    • 1.5.1-3
    • 1.6.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:22.04:LTS

    Versiones
    • 1.6.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:24.04:LTS

    Versiones
    • 1.6.2-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:26.10

    Versiones
    • 1.7.10-3
    • 1.9.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:26.04:LTS

    Versiones
    • 1.7.10-2
    • 1.7.10-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →