Bandit: Unkontrollierter Ressourcenverbrauch durch HTTP/2 WINDOW_UPDATE-Tropfen

Zusammenfassung

Bandit, ein HTTP-Server für Elixir-Anwendungen, ist im HTTP/2-Betrieb in den Versionen ab 1.4.0 bis vor 1.13.0 betroffen. Ein nicht authentifizierter Angreifer aus der Ferne kann Stream-Prozesse und die von ihnen gehaltenen Ressourcen unbegrenzt beschäftigt halten, indem er alle paar Sekunden kleine WINDOW_UPDATE-Frames sendet, da die Sendefrist bei jedem Teilfortschritt neu startet. Wiederholt über mehrere Streams und Verbindungen kann dies Serverprozesse und Arbeitsspeicher erschöpfen und so einen Denial-of-Service auslösen.

Betroffen

• Bandit ab 1.4.0 bis vor 1.13.0 (CVE-Eintrag)
• Nur Listener mit aktiviertem HTTP/2 sind exponiert
• Die Standardkonfiguration mit HTTP/2 ist betroffen

Behoben in

• Upstream behoben durch die Commits d88b219 und fff06ef
• Release mit der Behebung: Bandit 1.13.0 gemäss CVE-Eintrag; einzelne nachgelagerte Quellen nennen 1.13.1, nicht gegen die Herstellerwarnung verifiziert

Umgehung

• HTTP/2 deaktivieren: http_2_options auf enabled: false setzen (entfernt beide verwundbaren Pfade)
• Oder HTTP/2 an einem Reverse Proxy terminieren, der eigene Sendetimeouts durchsetzt und mit Bandit über HTTP/1 spricht

Ausnutzung

• CISA SSVC: Exploitation-Status PoC, automatisierbar: ja, technische Auswirkung: teilweise
• Zum Zeitpunkt der Erstellung sind keine Ausnutzungen in freier Wildbahn bekannt

Unsere Empfehlung

• Prüfen, ob ein Bandit-basierter Dienst HTTP/2 direkt annimmt
• Bis eine behobene Version bestätigt und ausgerollt ist, HTTP/2 deaktivieren oder einen Reverse Proxy mit Sendetimeouts vorschalten
• Bandit nach Tests auf die behobene Version aktualisieren, da Version 1.13 einzelne Verbindungsverhalten ändert
• Prozess- und Speicherauslastung der Webdienste auf ungewöhnliches Wachstum überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CNA EEF) cna.erlef.org
• Bandit commit d88b219 github.com
• Bandit commit fff06ef github.com
• GitHub Security Advisory GHSA-69m6-wcv4-rwcf github.com
• OSV EEF-CVE-2026-105659 osv.dev
• Downstream project pull request 2841 github.com
• Downstream project pull request 42 github.com
• Downstream project pull request 3169 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 03:00.