Andrea Leopardi

**Nome do Software Vulnerável e Versões Afetadas** elixir-mint versões 0.1.0 até 1.9.2 **Description** Um problema de HTTP response smuggling ocorre devido à interpretação inconsistente de requisições HTTP. Um servidor HTTP/1 malicioso pode dessincronizar um intermediário rigoroso e o cliente Mint em uma conexão agrupada (pooled), permitindo o envenenamento da fila de respostas para requisições subsequentes que compartilham a mesma conexão. A função `decode body()` em `lib/mint/http1.ex` utiliza `Integer.parse(data, 16)` para analisar a linha de tamanho do chunk em uma resposta Transfer-Encoding: chunked. Embora a RFC 7230 proíba prefixos de sinal para o tamanho do chunk, a função `Integer.parse/2` aceita sinais de + ou - iniciais. Consequentemente, uma linha de tamanho de chunk +5 é aceita como um chunk de cinco bytes, e +0 ou -0 são aceitos como chunks de comprimento zero terminadores, encerrando o corpo da mensagem prematuramente. Um intermediário rigoroso à RFC rejeita essas formas, fazendo com que o intermediário e o cliente Mint discordem de onde termina uma resposta e começa a próxima. Em conexões keep-alive agrupadas, uma origem influenciada por um invasor pode injetar bytes que o cliente atribui à próxima resposta legítima na mesma conexão, corrompendo as respostas retornadas a requisições não relacionadas em andamento. Isso requer uma topologia de implantação na qual um intermediário HTTP/1 rigoroso (como um proxy, balanceador de carga ou WAF) esteja posicionado entre o cliente Mint e a origem, e as conexões sejam reutilizadas. **Recommendations** Atualize o elixir-mint para a versão 1.9.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** elixir-mint versões 0.1.0 até 1.9.1 **Description** Um servidor HTTP remoto pode causar a negação de serviço ao esgotar a memória no host cliente. As funções `Mint.HTTP1.decode headers/5` e `Mint.HTTP1.decode trailer headers/4` acumulam cabeçalhos de resposta analisados e campos de trailer fragmentados em uma lista por requisição `request.headers buffer` que persiste entre segmentos TCP. Como não há limite para o número de cabeçalhos ou bytes totais, e o analisador `:erlang.decode packet(:httph bin, binary, [])` é utilizado com limites de tamanho padrão ilimitados, um servidor malicioso pode transmitir linhas de cabeçalho ou trailer indefinidamente sem enviar a linha em branco de terminação. Isso faz com que o estado da conexão cresça sem limites até que o nó BEAM seja encerrado pelo manipulador de falta de memória do sistema operacional. **Recommendations** Atualize o elixir-mint para a versão 1.9.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** elixir-mint versões 0.1.0 até 1.9.1 **Description** Um servidor HTTP/2 remoto pode causar exaustão de memória e a negação de serviço no host cliente. A função `handle continuation/3` em `lib/mint/http2.ex` acumula fragmentos de blocos de cabeçalho de quadros CONTINUATION do HTTP/2 em uma estrutura de aninhamento que só é liberada ao receber um quadro com a flag END HEADERS. Embora exista uma verificação de limite de tamanho via `assert header block within max size/2`, o protocolo permite que quadros CONTINUATION tenham cargas úteis de comprimento zero. Um invasor pode enviar uma cadeia ilimitada desses quadros de comprimento zero, o que ignora o limite de tamanho e aumenta continuamente o consumo de memória ao adicionar uma célula cons por quadro, levando eventualmente à terminação por falta de memória do nó BEAM. **Recommendations** Atualize o elixir-mint para a versão 1.9.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** mint versões 0.5.0 até 1.9.0 **Description** Um problema de negação de serviço existe no módulo `Mint.HTTP1`. Ao decodificar um corpo de resposta HTTP fragmentado (chunked), o software acumula fragmentos parciais no `data buffer` (um iolist ilimitado) usando a função `add body to buffer/2` e não emite os dados até que o comprimento total do fragmento declarado seja recebido. Como o tamanho do fragmento é analisado a partir do servidor sem um limite superior, um servidor malicioso pode especificar um tamanho de fragmento enorme e enviar bytes lentamente. Isso força o cliente a armazenar dados indefinidamente, podendo levar a uma condição de falta de memória (out-of-memory). Isso pode ser desencadeado quando um cliente segue redirecionamentos, busca URLs fornecidas pelo usuário ou processa webhooks. O problema está associado à função `decode body/5` no arquivo `lib/mint/http1.ex`. **Recommendations** Atualize o mint para a versão 1.9.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** hpax versões 0.1.1 até 1.0.3 **Descrição** Um problema de complexidade algorítmica ineficiente ocorre durante a decodificação de inteiros HPACK de comprimento variável. A função `Elixir.HPAX.Types`:decode remaining integer/3, acessada através do ponto de entrada `Elixir.HPAX`:decode/2, não impõe um limite superior ao valor decodificado ou ao número de octetos de continuação. Como os inteiros BEAM utilizam precisão arbitrária, uma sequência de octetos de continuação cria um bignum de O(N) bits, resultando em um custo de decodificação superlinear de aproximadamente O(N^2). Um invasor não autenticado pode explorar isso enviando um pequeno bloco de cabeçalho HTTP/2 que consome CPU e memória transitória excessivas, levando a uma amplificação de negação de serviço. **Recomendações** Atualize o hpax para a versão 1.0.4 ou posterior.