Vulnérabilité dans cowboy (CVE-2026-65624)
Résumé
Vulnérabilité dans cowboy (CVE-2026-65624). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.18.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Allocation of Resources Without Limits or Throttling vulnerability in ninenines cowboy allows an unauthenticated remote attacker to exhaust connection process memory over HTTP/1.1.
The HTTP/1.1 handler in cowboy_http enforces the max_headers limit by counting the number of distinct header names in a map (maps:size(Headers)). When a request contains multiple header lines with the same name, the values are concatenated into a single ever-growing binary stored under that one map key (", " for regular headers, "; " for cookies), so the map size stays at one and the max_headers cap (default 100) is never reached. Because no accumulator bounds the total number of header lines or the total byte size of the header block (only per-line max_header_name_length and max_header_value_length apply), an unauthenticated client can send an arbitrary number of header lines with the same name and grow the connection process's binary memory to arbitrary size within the request window.
The impact per connection is bounded by request_timeout (default 5 seconds, not reset by header data), and by max_heap_size when set (the offending connection process is killed once its heap grows past the limit). When max_heap_size is left at the default (unset), sustained abuse can drive the Erlang VM into out-of-memory conditions.
This issue affects cowboy from 2.0.0-pre.4 before 2.18.0.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-65624 a été découverte dans cowboy.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour cowboy vers 2.18.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « cowboy CVE-2026-65624 » sur le site de l'éditeur.
CVE-2026-65624 (cowboy) — CWE-770
Correctif : 2.18.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-770) affecte cowboy.
Consultez l'avis de l'éditeur pour les versions affectées de cowboy.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2.18.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'cowboy' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
cowboyを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade cowboy to 2.18.0ステージング環境で 2.18.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-65624 erlang-cowboy Corrigé dans: 2.18.0+dfsg-1
- Ubuntu UBUNTU-CVE-2026-65624 rabbitmq-server
Références
- package hex.pm
- patch github.com
- web cna.erlef.org
- web osv.dev
- web nvd.nist.gov
- web github.com