mtrudl/bandit HTTP/2流控制漏洞(CVE-2026-74836)及修复指南

漏洞概述 漏洞编号: CVE-2026-74836 发布日期: 2026-08-20 更新日期: 2026-08-20 漏洞描述: 在mtrudl bandit中，存在一个“资源分配无限制或节流”漏洞，允许未认证的远程攻击者通过连接级别的流控制，无限期地钉住HTTP/2流进程。当流的响应体超过HTTP/2连接级别发送窗口（默认65,535字节，跨所有流共享）时， 会排队剩余字节并延迟关闭（挂起、发送），流进程将永远阻塞在同步调用连接进程。没有任何机制等待或清除队列；客户端 被阻塞的流交付到其邮箱但从未读取，导致取消发送无效，周期性PING帧保持传输层读取超时。等效的流级别发送窗口已绑定在15秒；连接级别路径没有这样的边界。 CVSS评分: 8.7 (HIGH) 影响范围 受影响版本: - Hex / Bandit: 0.3.4 < 1.12.5 - GitHub / mtrudl/bandit: 6feadb3 < f6914aa 默认状态: 未受影响 CPE: cpe:2.3:a:mtrudl:bandit:::::::: 修复方案 修复版本: 1.12.5及以上版本 参考链接: - GitHub - mtrudl/bandit - OSV.dev - CVE-2026-74836 其他信息 Credits: - Giovanni Visciano / Hewlett Packard Enterprise - Athonet (Reporter) - Mat Trudel (Remediation developer) - Jonatan Männchen / EEF (Coordinator) CVSS Breakdown CVSS v3.1: 8.7 (HIGH) - Attack Vector: Network - Attack Complexity: Low - Privileges Required: None - User Interaction: None - Scope: Unchanged - Confidentiality: None - Integrity: None - Availability: High 总结 该漏洞允许未认证的远程攻击者通过连接级别的流控制，无限期地钉住HTTP/2流进程，导致资源耗尽。受影响版本为0.3.4至1.12.5，建议升级到1.12.5及以上版本以修复此问题。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

mtrudl/bandit HTTP/2流控制漏洞(CVE-2026-74836)及修复指南

目标达成感谢每一位支持者 — 我们达成了 100% 目标！