JVNDB-2026-017295

benoitcのhackneyにおけるリソースの枯渇に関する脆弱性

benoitc hackney におけるリソースの割り当てが、制限やスロットリングなしで行われる脆弱性により、フラッディングが可能です。hackney_h3:await_response_loop/6 は HTTP/3 のレスポンスボディをサイズ制限なくメモリに蓄積します。after Timeout 句は、受信したチャンク、ハウスキーピングメッセージ、または設定フレームごとにリセットされるメッセージ単位の非アクティビティタイマーであり、絶対的な締め切り時間を示すものではありません。悪意のある HTTP/3 サーバーが Timeout - 1 ミリ秒ごとに Fin = false の小さなチャンクを送信しつつ最終フレームを送らない場合、ループは無期限に継続し、蓄積バッファは制限なく線形に増加し続けます。その結果、最終的に BEAM プロセスのヒープを枯渇させ、メモリ不足状態を引き起こします。この問題は hackney バージョン 2.0.0 から 4.0.1 未満のバージョンに影響を与えます。

benoitc

• hackney 2.0.0 以上 4.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : Unbounded body accumulation in HTTP/3 response loop in hackney | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : Per-chunk timeout with unbounded body accumulation enables slow-drip OOM  Advisory  benoitc/hackney  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-47077 - OSV

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-47077

1. National Vulnerability Database (NVD) : CVE-2026-47077
2. 関連文書 : fix(security): bound HTTP/3 response buffering (GHSA-jq4m)  benoitc/hackney@3d25f9f  GitHub

• [2026年05月29日]
    掲載