Bandit: Ineffiziente algorithmische Komplexität bei der Header-Integer-Verarbeitung
Zusammenfassung
Bandit, ein reiner Elixir-HTTP-Server, verarbeitet Content-Length- und Host- beziehungsweise :authority-Portwerte Ziffer für Ziffer ohne Längenbegrenzung, weshalb der Aufwand quadratisch mit der Eingabelänge wächst. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über HTTP/1 oder HTTP/2 übergrosse Werte senden und so die CPU-Zeit des Servers binden. Bei HTTP/2 ermöglicht die Wiederverwendung über die HPACK-Dynamiktabelle, dass wenig Datenverkehr wiederholt aufwendige Verarbeitung auslöst; der Melder mass 27,9 s CPU-Zeit für 124 KB Datenverkehr.
Betroffen
- Hex-Paket bandit ab 1.0.0-pre.7 bis vor 1.14.0
- Git-Bereich von Commit e0c8c0c bis 220b9df (gemäss CNA-Eintrag)
Behoben in
- Bandit 1.14.0
- Hinweis: Ein separater Advisory (EEF-CVE-2026-116078) verlangt bei aktiviertem HTTP/2 mindestens 1.14.1
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Ein Proof of Concept wird im Advisory-Text beschrieben; die öffentliche Verfügbarkeit eines Exploits ist unbekannt.
Unsere Empfehlung
- Elixir- und Phoenix-Anwendungen inventarisieren und die mix.lock-Dateien auf bandit-Versionen unter 1.14.0 prüfen.
- Mindestens auf 1.14.0 aktualisieren, bei aktiviertem HTTP/2 auf 1.14.1 oder neuer.
- Nach der Bereitstellung mix hex.audit ausführen, um sicherzustellen, dass keine offenen Bandit-Advisories mehr bestehen.
- Bis zur Aktualisierung die Grösse von Request-Headern auf einem Reverse Proxy oder Load Balancer für öffentlich erreichbare Dienste begrenzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CNA record CVE-2026-113436 (ERLEF) cna.erlef.org
- GitHub Security Advisory GHSA-29cr-8477-rg6r github.com
- Fix commit 220b9df (version bump to 1.14.0) github.com
- Introducing commit e0c8c0c github.com
- OSV record EEF-CVE-2026-113436 osv.dev
- Ubuntu CVE record CVE-2026-113436 ubuntu.com
- OSV record EEF-CVE-2026-116078 (follow-up advisory) osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:11.
Referenzen der NVD (5)
- https://cna.erlef.org/cves/CVE-2026-113436.html
- https://github.com/mtrudel/bandit/commit/220b9dfd27f9a21305be2afc75cbe585ddc24e7a
- https://github.com/mtrudel/bandit/commit/e0c8c0c30af9b0f57d8aafac37ddd9294363a8be
- https://github.com/mtrudel/bandit/security/advisories/GHSA-29cr-8477-rg6r
- https://osv.dev/vulnerability/EEF-CVE-2026-113436
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.