JVNDB-2026-005479

ritlabsのTinyWebにおける複数の脆弱性

TinyWebはWin32向けにDelphiで書かれたWebサーバー（HTTP、HTTPS）です。バージョン2.02より前のバージョンには、メモリ枯渇によるサービス拒否（DoS）脆弱性が存在します。認証されていないリモート攻撃者が非常に大きな`Content-Length`ヘッダー（例：`2147483647`）を含むHTTP POSTリクエストをサーバーに送信すると、サーバーはリクエストボディ（`EntityBody`）のメモリを無制限に割り当て続け、ペイロードをストリーミングしながら最大サイズの制限を適用しません。そのため、利用可能なすべてのメモリが消費され、サーバーはクラッシュします。TinyWebを使用してサービスを提供しているすべてのユーザーに影響があります。バージョン2.02でこの問題は修正されました。パッチにより、受け入れるペイロードの最大サイズを10MBに制限する`CMaxEntityBodySize`が導入されました。すぐにアップグレードできない場合の一時的な対策としては、Webアプリケーションファイアウォール（WAF）やnginxやCloudflareのようなリバースプロキシの背後にサーバーを配置し、HTTPリクエストボディの最大許容サイズを明示的に制限する設定（例：nginxの`client_max_body_size`）を検討することを推奨します。

ritlabs

• TinyWeb 2.02 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Unbounded Content-Length Memory Exhaustion (DoS)  Advisory  maximmasiutin/TinyWeb  GitHub

Maxim Masiutin

• Maxim Masiutin : TinyWeb Unbounded Content-Length Memory Exhaustion (CVE-2026-27633) - Security Advisory

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [NVD評価]

1. CVE-2026-27633

1. National Vulnerability Database (NVD) : CVE-2026-27633
2. 関連文書 : Fix memory exhaustion DoS via Unbounded Content-Length  maximmasiutin/TinyWeb@1cb5a1d  GitHub

• [2026年03月02日]
    掲載