JVNDB-2026-017297

benoitcのhackneyにおけるリソースの枯渇に関する脆弱性

benoitc hackneyにはリソースの割り当てに制限やスロットリングがない脆弱性が存在し、これによりフラッディングが可能です。WebSocketクライアントのいくつかの処理経路ではメモリ使用量の上限が設定されておらず、大量のデータを蓄積し続けることでメモリ枯渇を引き起こす恐れがあります。攻撃者は制御するWebSocketサーバから大量の断片化フレームやペイロードを断続的に送信することで、この問題を悪用できます。認証や特別な設定は不要です。影響を受けるバージョンはhackney 2.0.0から4.0.1未満のバージョンです。

benoitc

• hackney 2.0.0 以上 4.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : Unbounded memory consumption in WebSocket client in hackney | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : Unbounded buffer accumulation in WebSocket  Advisory  benoitc/hackney  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-47073 - OSV

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-47073

1. National Vulnerability Database (NVD) : CVE-2026-47073
2. 関連文書 : fix(security): bound WebSocket client buffers (GHSA-q8jg)  benoitc/hackney@ce0109e  GitHub

• [2026年05月29日]
    掲載