Bandit: Ressourcenerschöpfung durch unbegrenzte HTTP/2 DATA-Frames

Zusammenfassung

Bandit, eine Elixir-HTTP-Serverbibliothek, erzwingt die HTTP/2-Empfangsfenster für eingehende DATA-Frames nicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine grosse Antwort anfordern, WINDOW_UPDATE zurückhalten und viele kleine DATA-Frames senden. Diese werden im Speicher des Servers gespeichert, bis dem BEAM-Node der Arbeitsspeicher ausgeht. Dadurch können alle Anwendungen auf diesem Node ausfallen. Es ist weder eine Anmeldung noch eine Benutzerinteraktion erforderlich.

Betroffen

• bandit von 0.3.1 vor 1.14.0 (Hex-Paket)
• Git-Bereich c8dc1e9 bis vor 220b9df

Behoben in

• Auf bandit 1.14.0 oder neuer aktualisieren.
• Ein verwandtes Problem, CVE-2026-116078, betrifft auch 1.14.0. Vor der Bereitstellung die neueste korrigierte Version auf hex.pm prüfen (1.14.1 oder neuer).

Umgehung

• HTTP/2 auf betroffenen Listenern mit http_2_options: [enabled: false] deaktivieren (verfügbar ab bandit 0.7.0). Clients oder Proxys, die auf HTTP/2 angewiesen sind, können davon betroffen sein, daher vorab testen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Zum Zeitpunkt der Recherche sind keine Ausnutzungen in freier Wildbahn bekannt. Kein öffentlicher Exploit-Code gefunden.

Unsere Empfehlung

• Alle Elixir-Anwendungen mit bandit identifizieren (mix.lock und produktive Releases prüfen).
• Mindestens auf 1.14.0 aktualisieren, vorzugsweise auf die neueste Version.
• Falls kurzfristig nicht aktualisiert werden kann, HTTP/2 auf aus dem Internet erreichbaren Listenern deaktivieren.
• Speicherauslastung des BEAM-Nodes überwachen und bei anhaltendem Wachstum alarmieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA EEF) cna.erlef.org
• GitHub security advisory GHSA-c3g7-2pg5-qvwh github.com
• OSV record EEF-CVE-2026-108525 osv.dev
• Fix commit 220b9df github.com
• Introducing commit c8dc1e9 github.com
• Bandit changelog hexdocs.pm
• OSV record EEF-CVE-2026-116078 (related issue) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:14.