ninetails/gun Uncontrolled Resource Consumption Vulnerability (CVE-2026-43973) Advisory

脆弱性概要 脆弱性ID: EEF-CVE-2026-43973 脆弱性タイプ: 非制御リソース消費（Uncontrolled Resource Consumption） 脆弱性の説明: の モジュールには、悪意のあるサーバが無制限の HTTP/1.1 レスポンスバッファリングによってクライアントのメモリを枯渇させる脆弱性が存在します。具体的には以下の通りです： - において、3つのサブ句（clauses）が受信した TCP データを接続のバッファフィールドに蓄積しますが、バイナリー接続が使用され、上限チェックがありません。 - ヘッダー終端子が発見された場合、 サブ句は が不完全なチャンク境界を示す追加結果を返すたびにデータを付加します。 - サブ句は を発見した後にデータを付加します。 - 期待される終端子が到着しない場合、増大したバイナリーファイルは状態に格納され、さらなるデータに待機しますが、設定可能またはハードコードされたバッファサイズ上限がありません。 - 悪意のある、あるいは損傷したサーバは、完成しない部分的なレスポンスを送信することでこの脆弱性を悪用できます。例えば、レスポンスは で始まり、その後、任意のバイト数の無制限ストリームに続くが、ヘッダー終端子が送信されないケースが考えられます。 - の接続プロセスは継続的に新しいデータをそのバッファに付加し、無制限のヒープ増大を招きます。BEAM はデフォルトでプロセスあたりのヒープサイズに制限を設けไม่ได้ため、単一の悪意のある接続がノードの全利用可能メモリを枯渇させ、メモリ不足によりノードのクラッシュを引き起こします。 影響範囲 影響を受けるバージョン: のバージョン 1.0.0 から 2.4.0 まで。 修正方案 修正状況: ページには具体的な修正方案やパッチ情報が提供されていません。 推奨事項: ユーザーには、影響を受けないバージョンへのアップグレードや、この種の攻撃を防ぐための他のセキュリティ対策の実施が推奨されます。 その他の情報 CVSS スコア: 8.7 (HIGH) CVSS ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VA:N/SC:N/SI:N/SA:N 公開日: 2026-06-08T14:12:12Z 修正日: 2026-06-08T16:35:01.405Z データベース固有の情報 CWE ID: CWE-770 CPE ID: cpe:2.3:a:ninetails:gun:::::::: CAPEC ID: なし POC コードまたはエクスプロイトコード ページには具体的な POC コードやエクスプロイトコードが提供されていません。

目標達成 すべての支援者に感謝 — 100%達成しました！

ninetails/gun Uncontrolled Resource Consumption Vulnerability (CVE-2026-43973) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！