Bandit HTTP/2连接窗口饥饿致DoS (CVE-2026-74836)

漏洞概述 漏洞编号：EEF-CVE-2026-74836 来源：https://cna.ariel.org/osv/EEF-CVE-2026-74836.html JSON数据：https://api.osv.dev/v1/vulns/EEF-CVE-2026-74836 别名： - GHSA-x8gq-532w-py94 - CVE-2026-74836 发布日期：2026-08-20T21:11:18.999Z 修改日期：2026-08-20T21:15:04.964872677Z 严重程度：9.7 (High) CVSS评分：CVSS:3.4/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/SC:N/MA:N/SA:N 影响范围 受影响软件：Bandit 受影响版本：从0.3.4到1.12.5 修复方案 修复建议：升级到不受影响的版本。 漏洞详情 漏洞类型：HTTP/2连接窗口饥饿导致Ping进程无限期挂起 漏洞描述： - 在mtrurl bandit中，存在一个分配资源无限制或节流漏洞，允许未经认证的远程攻击者通过连接级流控制，无限期地挂起未绑定的HTTP/2流进程。 - 当流的响应体超出HTTP/2连接级发送窗口（默认65,535字节，跨连接上的所有流共享）时，Bandit.HTTP2Connection会排队剩余字节并回复一个pending_sends，流进程块永远处于同步调用到连接过程。 - 没有任何东西可以绑定或清除队列：客户端RST_STREAM被发送到邮箱但从未读取，因为它在调用中卡住，不执行任何取消操作，周期性PING帧保持传输层超时未触发。等效块在流级发送窗口中已绑定约15秒；连接级路径没有这样的声音。 - 每个挂起的流都会挂起其进程、插件状态和任何资源，插件跨写缓冲持有，如上游连接在反向代理中。攻击者选择任何响应超过连接窗口的端点（对于大多数非平凡有效负载），授予一个通用的流级发送窗口，因此连接窗口限制它，并保持连接通过周期性PINGs保持活动状态。该原语可重复跨流和连接，代价是一个空闲套接字。 数据库特定信息 CAPEC IDs： - CAPEC-130 CWE IDs： - CWE-770 CPE IDs： - （未提供） 总结 该漏洞允许未经认证的远程攻击者通过HTTP/2连接窗口饥饿，无限期地挂起流进程，导致资源耗尽和服务不可用。建议升级到不受影响的版本以修复此漏洞。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Bandit HTTP/2连接窗口饥饿致DoS (CVE-2026-74836)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！