Bandit: Unbegrenzte HPACK-Tabellengrösse in HTTP/2 führt zu Ressourcenerschöpfung
Zusammenfassung
Bandit, ein HTTP-Server in Elixir, übernimmt jede HPACK-Encoder-Tabellengrösse, die ein HTTP/2-Client ankündigt, bis zu etwa 4 GB, ohne serverseitige Begrenzung. Antwort-Header mit wechselnden Werten werden in dieser Tabelle gespeichert, die für die Lebensdauer der Verbindung wächst und bei jeder Suche linear durchsucht wird. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine HTTP/2-Verbindung zunehmend aufwendiger für CPU und Speicher machen, was Serverressourcen erschöpfen kann. Das Problem betrifft Bandit ab 0.3.6 vor 1.14.0.
Betroffen
- Bandit (Hex-Paket bandit) ab 0.3.6 vor 1.14.0
Behoben in
- Bandit 1.14.0 (Fix-Commit 220b9df)
Umgehung
- HTTP/2 deaktivieren: http_2_options: [enabled: false]
- Oder die Anzahl Anfragen pro HTTP/2-Verbindung begrenzen (ab 0.7.0): http_2_options: [max_requests: 1000]
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Zum Zeitpunkt der Erstellung wurde kein Hinweis auf eine Ausnutzung in der Praxis gefunden.
Unsere Empfehlung
- Bandit-Dienste in Ihren Elixir-Anwendungen identifizieren (mix.lock prüfen).
- Auf Bandit 1.14.0 oder neuer aktualisieren.
- Falls HTTP/2 direkt aus dem Internet erreichbar ist und ein Update nicht möglich ist, HTTP/2 deaktivieren oder die Begrenzung der Anfragen pro Verbindung anwenden.
- CPU- und Speicherauslastung der HTTP/2-Dienste überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CNA record CVE-2026-110499 cna.erlef.org
- GitHub Security Advisory GHSA-47x4-3fxf-82fr github.com
- OSV record EEF-CVE-2026-110499 osv.dev
- Fix commit 220b9df github.com
- Introducing commit 0e68313 github.com
- Ubuntu CVE tracker CVE-2026-110499 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:13.
Referenzen der NVD (5)
- https://cna.erlef.org/cves/CVE-2026-110499.html
- https://github.com/mtrudel/bandit/commit/0e68313fab9d204257ebad5c447e4cd9cea8e0ea
- https://github.com/mtrudel/bandit/commit/220b9dfd27f9a21305be2afc75cbe585ddc24e7a
- https://github.com/mtrudel/bandit/security/advisories/GHSA-47x4-3fxf-82fr
- https://osv.dev/vulnerability/EEF-CVE-2026-110499
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.