PT-2026-43068 · Hackney · Hackney

Benoit Chesneau + 2 · Publicado 2026-05-25 · Atualizado 2026-05-27 · CVE-2026-47071

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas hackney versões 0.10.0 até 4.0.0

Descrição O Consumo Não Controlado de Recursos no transporte SOCKS5 em src/hackney socks5.erl permite flooding. Embora o tempo limite fornecido pelo chamador seja aplicado durante a fase de negociação SOCKS5, a atualização da conexão para TLS através da função ssl:connect/2 assume um tempo limite infinito por padrão, pois a variável Timeout não é encaminhada. Consequentemente, um proxy SOCKS5 malicioso que complete o handshake e então fique inativo ou envie um TLS ServerHello parcial pode fazer com que o processo de conexão bloqueie indefinidamente, ignorando as opções connect timeout ou recv timeout.

Recomendações Atualize o hackney para a versão 4.0.1.

Exploit

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2026-47071

GHSA-GP9C-PM5M-5CXR

Produtos afetados

Hackney

Referências · 7

• 🔥 https://github.com/benoitc/hackney/security/advisories/GHSA-gp9c-pm5m-5cxr · Exploit
• https://github.com/benoitc/hackney/commit/5ccdab725c561a6f03d05a51f2d0664f98236dae · Correção
• https://hex.pm/packages/hackney · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-47071 · Nota de Segurança
• https://t.me/cveNotify/164841 · Publicação no Telegram
• https://osv.dev/vulnerability/EEF-CVE-2026-47071 · Aviso do Fabricante, Correção
• https://cna.erlef.org/cves/CVE-2026-47071.html · Correção