Bandit: Ressourcenerschöpfung über HTTP/2 WINDOW_UPDATE- und SETTINGS-Frames

Zusammenfassung

Bandit, ein HTTP-Server für Elixir- und Plug-Anwendungen, setzt das Timeout für das Lesen des Request-Bodys zurück, sobald ein HTTP/2 WINDOW_UPDATE- oder leerer SETTINGS-Frame ohne Body-Daten eintrifft. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen solchen kleinen Frame vor jedem Ablauf des Timeouts senden und so Request-Prozesse unbegrenzt blockieren. Voraussetzung sind aktiviertes HTTP/2 und eine Route, die Request-Bodys liest, etwa POST, PUT oder PATCH über Plug.Parsers.

Betroffen

• Bandit von 1.4.0 vor 1.14.0 (Hex-Paket bandit)
• Git-Bereich fff06efe3be962b484bd4d3eb339372fda5a231f bis vor 220b9dfd27f9a21305be2afc75cbe585ddc24e7a
• Nur bei aktiviertem HTTP/2 (Standard: nicht betroffen)

Behoben in

• Bandit 1.14.0 (Fix-Commit 220b9df)
• Hinweis: Das verwandte Problem EEF-CVE-2026-116078 betrifft 0.3.1 vor 1.14.1, daher mindestens 1.14.1 einsetzen und die aktuelle Hex-Version prüfen.

Umgehung

• HTTP/2 mit http_2_options: [enabled: false] deaktivieren, bis das Update eingespielt ist. HTTP/1.1 bleibt verfügbar.
• Unbekannt ist, ob ein Reverse Proxy vor Bandit die Exposition verringert.

Ausnutzung

• Kein öffentlicher Exploit-Code und keine Ausnutzung in freier Wildbahn zum Zeitpunkt der Erfassung bekannt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Der Angriff erfordert nach Kenntnis des Problems geringen Aufwand.

Unsere Empfehlung

• Mix.lock-Dateien auf bandit-Versionen ab 1.4.0 bis vor 1.14.0 prüfen.
• Auf die neueste Bandit-Version aktualisieren, mindestens 1.14.1.
• Falls ein Update nicht sofort möglich ist, HTTP/2 auf öffentlich erreichbaren Endpunkten deaktivieren.
• HTTP/2-Einstellungen von Reverse Proxys und Load Balancern prüfen, die mit Bandit-Backends verbunden sind.
• Lang laufende HTTP/2-Streams sowie steigende Prozess- oder Speichernutzung auf betroffenen Diensten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CNA record CVE-2026-115269 cna.erlef.org
• GitHub Security Advisory GHSA-p2qv-vx88-385x github.com
• Fix commit 220b9df github.com
• Introducing commit fff06ef github.com
• OSV record EEF-CVE-2026-115269 osv.dev
• OSV record EEF-CVE-2026-116078 (related) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:10.