Corvusoft restbed: Speichererschöpfung durch unbegrenzte WebSocket-Frame-Pufferung
Zusammenfassung
Das C++-Framework restbed akzeptiert WebSocket-Frames mit deklarierten Nutzlastlängen von bis zu 2^63 Bytes und puffert die Nutzlast ohne Grössenbegrenzung. Ein entfernter, nicht authentifizierter Angreifer kann grosse Frames deklarieren und Daten streamen, um den Arbeitsspeicher des Servers zu erschöpfen, was zum Absturz des Prozesses und zu einem Denial of Service führt. Betroffen sind nur Anwendungen, die restbed einbetten und WebSocket-Endpunkte bereitstellen.
Betroffen
- restbed-Versionen bis einschliesslich 5.0.0 (alle Versionen bis und mit 5.0.0)
- Betroffene Komponente: Verarbeitung von WebSocket-Frames
- Anwendungen, die restbed einbetten und WebSocket-Endpunkte bereitstellen
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung wurde kein korrigiertes Release und keine Herstellerwarnung gefunden.
Umgehung
- Nicht benötigte WebSocket-Endpunkte deaktivieren.
- WebSocket-Endpunkte vom Internet fernhalten oder auf vertrauenswürdige Netzwerke beschränken.
- Einen Reverse Proxy vorschalten, der maximale Frame- und Nachrichtengrössen durchsetzt.
- Den Speicher der Prozesse mit Betriebssystemmitteln begrenzen (zum Beispiel systemd MemoryMax oder cgroups), damit ein Absturz eingedämmt wird.
Ausnutzung
- Bekannte Ausnutzung: Unbekannt. In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Öffentlicher Proof of Concept: unklar. Im GitHub-Issue existiert ein PoC-Abschnitt, dessen Inhalt wurde nicht verifiziert.
Unsere Empfehlung
- Prüfen, ob eigene oder fremde Software restbed einbettet, und den Hersteller oder Entwickler nach einer korrigierten Version fragen.
- Exponierte WebSocket-Endpunkte einschränken oder entfernen, insbesondere solche, die aus dem Internet erreichbar sind.
- Reverse-Proxy-Limiten und Speicherbegrenzungen als vorübergehende Massnahmen anwenden.
- Dienste auf wachsenden Speicherverbrauch und unerwartete Prozessabstürze überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- GitHub issue #558 github.com
- restbed repository github.com
- OSV CVE-2026-103472 osv.dev
- Vulnerable source code (web_socket_impl.cpp) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:36.
Referenzen der NVD (4)
- https://github.com/Corvusoft/restbed
- https://github.com/Corvusoft/restbed/blob/e1227a297ce6d4e9f78222456507b29bb8ab77e9/src/corvusoft/restbed/deta…
- https://github.com/Corvusoft/restbed/issues/558
- https://www.vulncheck.com/advisories/restbed-through-5.0.0-websocket-memory-exhaustion-via-unbounded-frame-bu…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.