Bandit: Umgehung von HTTP/2-Verbindungslimits durch StreamError-Wiederherstellung
Zusammenfassung
Bandit, ein Elixir-HTTP-Server für Plug- und Phoenix-Anwendungen, bereinigt den HTTP/2-Verbindungszustand nach einem Stream-Fehler innerhalb eines TCP-Reads nicht korrekt. Ein nicht authentifizierter Angreifer aus dem Netz kann mit einem einzelnen TCP-Write mehrere Frames senden, sodass vor dem Fehler geöffnete Streams weiterlaufen, während die Zähler für gleichzeitige Streams sie vergessen. Dadurch sind mehr gleichzeitige Requests möglich, als das konfigurierte max_concurrent_streams-Limit erlaubt, was CPU, Speicher und Serverprozesse erschöpfen kann (nur Verfügbarkeit betroffen).
Betroffen
- mtrudel Bandit ab 1.9.0 vor 1.14.0
- Git-Bereich 3ad49c8 bis vor 220b9df
Behoben in
- Bandit 1.14.0 (Fix-Commit 220b9df)
Umgehung
- HTTP/2 mit http_2_options: [enabled: false] deaktivieren. Clients, die HTTP/2 benötigen, weichen dann aus oder schlagen fehl, daher vorher testen.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Zum Zeitpunkt der Analyse ist kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Bandit in mix.lock-Dateien aller Elixir-Projekte suchen.
- Auf Bandit 1.14.0 oder neuer aktualisieren und auf Hex nach neueren Patch-Releases prüfen.
- Falls sich das Update verzögert, HTTP/2 auf aus dem Internet erreichbaren Listenern deaktivieren.
- GitHub-Advisory und CISA KEV auf Updates zur Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record CVE-2026-111103 (CNA EEF) cna.erlef.org
- GitHub Security Advisory GHSA-2238-pgfc-w82m github.com
- OSV record EEF-CVE-2026-111103 osv.dev
- Fix commit 220b9df (version bump to 1.14.0) github.com
- Introducing commit 3ad49c8 github.com
- Bandit package on Hex.pm hex.pm
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:58.
Referenzen der NVD (5)
- https://cna.erlef.org/cves/CVE-2026-111103.html
- https://github.com/mtrudel/bandit/commit/220b9dfd27f9a21305be2afc75cbe585ddc24e7a
- https://github.com/mtrudel/bandit/commit/3ad49c80c268891e7cc412e69649115456638e59
- https://github.com/mtrudel/bandit/security/advisories/GHSA-2238-pgfc-w82m
- https://osv.dev/vulnerability/EEF-CVE-2026-111103
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.