Bandit: Ressourcenerschöpfung durch unbegrenzte WebSocket-Continuation-Frames

Zusammenfassung

Bandit, ein HTTP- und WebSocket-Server für Elixir, begrenzt die Anzahl der Continuation-Frames in einer fragmentierten WebSocket-Nachricht nicht, und das Grössenlimit zählt nur Nutzdatenbytes. Ein nicht authentifizierter Angreifer aus dem Netz kann über eine Verbindung viele Fragmente mit je 1 Byte senden und so den Arbeitsspeicher des Servers erschöpfen, geschätzt 1,2 bis 1,4 GB pro Verbindung bei der Standardgrenze von 8 MB. Ping-Frames zwischen den Fragmenten halten die Verbindung über das Idle-Timeout hinaus offen. Jeder Bandit-Server, der WebSocket-Upgrades mit den Standardeinstellungen akzeptiert, inklusive Phoenix-LiveView- und Channels-Anwendungen, ist betroffen.

Betroffen

• bandit ab 1.11.0 vor 1.14.0
• Standardkonfiguration ist betroffen, sobald WebSocket-Upgrades akzeptiert werden

Behoben in

• Auf bandit 1.14.0 oder neuer aktualisieren

Umgehung

• Den Wert max_fragmented_message_size in websocket_options auf die grösste benötigte fragmentierte Nachricht der Anwendung senken, zum Beispiel 65536
• Dies senkt nur die Speichergrenze pro Verbindung und behebt die Schwachstelle nicht; die Behebung ist das Update

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof of Concept für diese CVE gefunden; der Test des Meldenden zeigte einen Speicheranstieg von etwa 82 MB bei 3,5 MB Datenverkehr

Unsere Empfehlung

• Abhängigkeiten (mix.lock) auf bandit prüfen, inklusive Phoenix-Anwendungen
• bandit auf 1.14.0 oder neuer aktualisieren
• Bis zum Update max_fragmented_message_size für WebSocket-Endpunkte senken und Ratenbegrenzung oder Proxy-Einschränkungen für WebSocket-Upgrades prüfen
• Speicherauslastung der BEAM-Instanzen auf ungewöhnliches Wachstum überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA EEF) cna.erlef.org
• GitHub Security Advisory GHSA-cpx7-qf6w-jc63 github.com
• OSV record EEF-CVE-2026-114213 osv.dev
• Fix commit 220b9df in mtrudel/bandit github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:11.