Bandit HTTP/2: Speichererschöpfung durch Request-Bodies mit vielen kleinen DATA-Frames

Zusammenfassung

Bandit, ein HTTP-Server in Elixir, begrenzt den Speicherbedarf für HTTP/2-Request-Bodies nicht, die aus vielen 1-Byte-DATA-Frames bestehen. Das Byte-Limit zählt keine Frames, daher kann ein nicht authentifizierter Angreifer aus der Ferne erreichen, dass der Server ein Mehrfaches der gesendeten Bytes im Speicher hält, verteilt auf bis zu 500 gleichzeitige Streams pro Verbindung. Voraussetzung sind aktiviertes HTTP/2 und eine Route, deren Plug den Request-Body liest, was jede Route hinter Plug.Parsers einschliesst.

Betroffen

• bandit von 0.3.1 bis vor 1.14.1
• Git-Bereich c8dc1e9 bis 327bb02 (Entwicklungshistorie)

Behoben in

• bandit 1.14.1

Umgehung

• HTTP/2 deaktivieren mit http_2_options: [enabled: false] (verfügbar ab bandit 0.7.0). Dies entfernt die HTTP/2-Funktionalität und ist eine Beobachtung Dritter, keine Empfehlung des Herstellers.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gemeldet.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS: 0.49 % (Perzentil 42).
• VulDB führt ein Label "0-Day" mit CVSS 5.3, was dem CNA-Score von 8.7 widerspricht.

Unsere Empfehlung

• Alle Hex-Projekte auf bandit 1.14.1 aktualisieren und Lock-Dateien auf Versionen 1.14.0 oder älter prüfen.
• Aus dem Internet erreichbare Bandit-Server mit HTTP/2 priorisieren.
• Prüfen, ob Bandit von Ihren Anwendungen verwendet wird, etwa über Phoenix, und ob HTTP/2 aktiviert ist.
• Speichernutzung und Verbindungsanzahl betroffener Dienste überwachen.
• Paketierte Distributionsversionen prüfen, da deren Bandit-Status noch evaluiert wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA EEF) cna.erlef.org
• OSV record EEF-CVE-2026-116078 osv.dev
• GitHub Security Advisory GHSA-pxjf-g536-7r93 github.com
• Fix commit 327bb02 github.com
• Introducing commit c8dc1e9 github.com
• Ubuntu security notice ubuntu.com
• VulDB entry 427999 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:46.