bandit Elixir Library CVE-2026-39803 Remote DoS via Unthrottled Resource Allocation

バグまとめ：EEF-CVE-2026-39803 脆弱性情報 脆弱性タイプ：制限なしまたはスロットルなしでのリソース割り当て（Allocation of Resources Without Limits or Throttling） CVSS スコア：8.7 (High) 影響を受けるコンポーネント： （Elixir HTTP リクエスト解析ライブラリ） 脆弱性概要： - の HTTP チャンクedリクエストパーサー（ のデフォルト上限は 8MB）に欠陥があります。 - チャンクedリクエストボディの読み取り時、累積データの上限を設定せず、受信したチャンクを無条件でリストに追加し、ボディ全体を単一のバイナリとして実体化（materialize）します。 - この関数は常に を返すため、呼び出し元は 413（Payload Too Large）応答を挿入することができません。 - はルーティングや認証よりも前に実行されるため、攻撃者は有効なルーティングや資格情報を持つ必要なく、 POST リクエストを送信し、任意サイズのボディを携带できます。これにより BEAM プロセスのメモリが枯渇し、OOM Killer によって終了させられ、リモート拒絕サービス（DoS）を引き起こします。 - 注意： パスは同じ関数内で適切に制限が適用されており、影響を受けません。 影響範囲 対象バージョン： 1.4.0 から 1.11.1 まで（1.11.1 を含む、1.11.1 を除く） 影響を受けるパッケージ： - パッケージ名： - リポジトリ： - 導入バージョン：1.4.0 - 修正バージョン：1.11.1 修正方法 バージョンアップ： を 1.11.1 以上へアップグレードしてください。 参考リンク GitHub Advisory: https://github.com/mtrudel/bandit/security/advisories/GHSA-9q9b-324x-93r2 CNA ページ: https://cna.eriel.org/osv/EEF-CVE-2026-39803.html Hex パッケージページ: https://hex.pm/packages/bandit Credits 発見者: Peter Ullrich 修正開発者: Mat Trudel アナリスト: Jonatan Männchen

目標達成 すべての支援者に感謝 — 100%達成しました！

bandit Elixir Library CVE-2026-39803 Remote DoS via Unthrottled Resource Allocation

目標達成すべての支援者に感謝 — 100%達成しました！