Bandit: Quadratische CPU-Auslastung über HTTP/2-SETTINGS-Frames

Zusammenfassung

Bandit, ein HTTP-Server für Elixir, ist von einer algorithmischen Komplexitätsschwachstelle in seiner HTTP/2-Implementierung betroffen. Ein nicht authentifizierter Angreifer aus dem Netz kann Tausende Streams öffnen, deren Antworten durch das Sendefenster der Verbindung blockiert werden, und danach kleine SETTINGS- oder Stream-0-WINDOW_UPDATE-Frames senden, die jeweils quadratischen Rechenaufwand auslösen und die CPU auslasten. Der Angriff setzt voraus, dass HTTP/2 aktiviert ist, und wirkt sich nur auf die Verfügbarkeit aus. Ein Proof of Concept ist öffentlich verfügbar.

Betroffen

• Bandit-Versionen vor 1.14.0 mit aktiviertem HTTP/2
• Der Beginn des betroffenen Bereichs ist umstritten: 0.3.4 laut CVE-Eintrag und OSV, 0.3.6 laut GHSA

Behoben in

• Bandit 1.14.0 (Fix-Commit 220b9dfd27f9a21305be2afc75cbe585ddc24e7a)

Umgehung

• Anzahl der Streams pro Verbindung begrenzen, z. B. mit http_2_options: [default_local_settings: [max_concurrent_streams: 100]] (ab Bandit 1.9.0)
• HTTP/2 mit http_2_options: [enabled: false] deaktivieren, falls HTTP/2 nicht benötigt wird (ab 0.7.0). Dies entfernt den verwundbaren Pfad, ist aber kein Code-Fix.

Ausnutzung

• Zum Zeitpunkt der Analyse ist keine Ausnutzung in freier Wildbahn bekannt. Es wurde kein Eintrag im CISA KEV gefunden.
• Ein öffentlicher Proof of Concept ist im GHSA verfügbar.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Bandit auf 1.14.0 oder neuer aktualisieren, einschliesslich transitiver Abhängigkeiten in mix.lock, und die laufende Version in der Produktion prüfen.
• Bis zum Patch die Stream-Begrenzung anwenden oder HTTP/2 wo möglich deaktivieren.
• Prüfen, ob aus dem Internet erreichbare Phoenix- oder Bandit-Dienste HTTP/2 aktiviert haben.
• CPU-Auslastung und Antwortzeiten betroffener Dienste auf ungewöhnliche Spitzen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Program record (EEF) cna.erlef.org
• GitHub Security Advisory GHSA-j363-h72p-296m github.com
• Fix commit 220b9df in mtrudel/bandit github.com
• OSV record EEF-CVE-2026-108529 osv.dev
• Introducing commit 6feadb3 in mtrudel/bandit github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:15.