JVNDB-2026-005480

ritlabsのTinyWebにおける複数の脆弱性

TinyWebはWin32向けにDelphiで書かれたWebサーバー（HTTP、HTTPS）です。バージョン2.02以前のバージョンは、Slowlorisとして知られるサービス拒否（DoS）攻撃に対して脆弱でした。本サーバーは、最大同時接続数の制限や適切なリクエストタイムアウトを設けずに、受信した接続ごとに新しいOSスレッドを生成します。認証されていないリモート攻撃者が多数の接続を開き、非常に遅い速度（例：数分ごとに1バイト）でデータを送信すると、サーバーの同時接続数の上限やメモリを枯渇させる可能性があります。TinyWebを利用してサービスをホストしているすべてのユーザーが影響を受けます。バージョン2.02でこの問題は修正されました。パッチにより、最大接続数の制限（CMaxConnections、512に設定）と接続アイドルタイムアウト（CConnectionTimeoutSecs、30秒に設定）が導入されました。すぐにアップグレードが不可能な場合の暫定的な回避策として、nginx、HAProxy、Cloudflareのような堅牢なリバースプロキシやWebアプリケーションファイアウォール（WAF）をサーバーの前段に配置し、不完全なリクエストをバッファリングし接続数とタイムアウトを厳格に制御することを検討してください。

ritlabs

• TinyWeb 2.02 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Remote Denial of Service via Thread/Connection Exhaustion (Slowloris)  Advisory  maximmasiutin/TinyWeb  GitHub

Maxim Masiutin

• Maxim Masiutin : TinyWeb Thread/Connection Exhaustion (Slowloris) (CVE-2026-27630) - Security Advisory

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [NVD評価]

1. CVE-2026-27630

1. National Vulnerability Database (NVD) : CVE-2026-27630
2. 関連文書 : Fix Slowloris DoS via Connection Limit and Timeout  maximmasiutin/TinyWeb@23268c8  GitHub

• [2026年03月02日]
    掲載