CVE-2026-39806: Bandit HTTP/1 Chunked Decoder Infinite Loop DoS

CVE-2026-39806 脆弱性情報概要 脆弱性概要 脆弱性名称： における trailer フィールドを含むリクエストでの HTTP/1 チャンクデコーダー無限ループ CVE 番号：CVE-2026-39806 CVSS 4.0 評価：8.7 (HIGH) CWE：CWE-835 — 到達不能な終了条件を含むループ（無限ループ） CAPEC：CAPEC-469 — CAPEC-469 HTTP DoS 説明： ライブラリに「無限ループ」の脆弱性が存在し、認証不要のリモート拒否サービス（DoS）攻撃を可能にします。リクエストに trailer フィールドが含まれている場合、 関数が無限ループに陥り、ワーカープロセスが永久的に占有されます。その結果、接続プールが枯渇し、サーバーが他のリクエストに応答できなくなります。 トリガー条件：RFC に準拠した trailer フィールド付きのチャンク化リクエストを送信するだけでトリガーされます。認証、特殊ヘッダー、または大きなペイロードは必要ありません。 影響を受けるプロキシ：Trailer フィールドを正しく転送する Nginx や HAProxy などのプロキシサーバーのバックエンドにある Bandit サービスも影響を受ける可能性があります。 影響範囲 影響を受けるモジュール： ソースファイル： 影響を受けるバージョン： - Hex パッケージ： 、バージョン - GitHub リポジトリ： 、コミット 修正バージョン： - Hex パッケージ： - GitHub リポジトリ： 修正対応 bandit ライブラリのアップグレード：バージョン 以上（Hex）またはコミット 以上（GitHub）へアップグレードします。 一時緩和策：プロキシ層（Nginx/HAProxy など）で trailer フィールドの転送を無効に設定します（ただし、一部のクライアント互換性を損なう可能性があります）。 参考リンク GitHub Advisory OSV.dev 記録 修正パッチ 謝辞 発見者：Peter Ullrich 修正開発者：Mat Trudel アナリスト：Jonatan Männchen

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-39806: Bandit HTTP/1 Chunked Decoder Infinite Loop DoS

目標達成すべての支援者に感謝 — 100%達成しました！