Bandit: Speichererschöpfung durch HTTP/2-Cookie-Verkettung (Datenverstärkung)

Zusammenfassung

Bandit, ein rein in Elixir implementierter HTTP-Server für Plug- und WebSock-Anwendungen, verkettet Cookie-Fragmente aus HPACK-komprimierten HTTP/2-Headern zu einem grossen Binärwert, ohne die Grösse der dekodierten Header zu begrenzen. Ein nicht authentifizierter Angreifer aus dem Netz kann einen kleinen Header-Block (im Test des Melders rund 49 KB) senden, der vor der Ausführung der Anwendung etwa 183 MB Speicher belegt. Durch Wiederholung über parallele Streams kann der Speicher des BEAM-Knotens erschöpft werden, wodurch alle darauf laufenden Anwendungen ausfallen können.

Betroffen

• Bandit ab 0.3.3 bis vor 1.14.0
• Server mit den Standard-Einstellungen für HTTP/2 sind laut Advisory betroffen

Behoben in

• Bandit 1.14.0 (veröffentlicht am 26.10.2026)
• Bandit 1.14.1 enthält die Korrektur ebenfalls (veröffentlicht am 28.10.2026, behebt ein anderes Advisory)

Umgehung

• Bei Bandit 1.12.2 und neuer eine endliche max_header_list_size setzen, z. B. http_2_options: [default_local_settings: [max_header_list_size: 65_536]]
• Ab 0.7.0 HTTP/2 mit http_2_options: [enabled: false] deaktivieren (HTTP/2-Clients weichen dann auf HTTP/1.1 aus)

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
• In den geprüften Quellen keine Hinweise auf Ausnutzung in freier Wildbahn oder öffentlichen Proof of Concept gefunden
• NVD-Status: Awaiting Analysis

Unsere Empfehlung

• Elixir-Anwendungen mit Bandit identifizieren (z. B. über mix.lock) und prüfen, ob sie aus dem Internet per HTTP/2 erreichbar sind
• Auf Bandit 1.14.0 oder neuer aktualisieren, vorzugsweise auf die aktuelle 1.14.x-Version, die auch weitere HTTP/2-Advisories abdeckt
• Falls das Patchen verzögert wird, die Workaround-Massnahme anwenden und das Update planen
• Speicherverbrauch der Elixir-Knoten auf ungewöhnliches Wachstum überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Program / EEF record cna.erlef.org
• GitHub Security Advisory GHSA-7gfj-7gvq-3xqj github.com
• Fix commit 220b9df github.com
• Introducing commit 44bf969 github.com
• OSV record EEF-CVE-2026-109584 osv.dev
• Tenable CVE page www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:14.