🟠 CVE-2026-57081: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-57081 ist eine kritische Denial-of-Service (DoS) Schwachstelle in Net::BitTorrent für Perl bis Version 2.0.1. Die Vulnerability ermöglicht es Angreifern, durch speziell präparierte Bencoding-Eingaben eine exzessive Speichererschöpfung zu verursachen. Ein kurzes, bösartiges Netzwerkpaket von etwa 150 KB kann zu mehreren Gigabyte Speicherverbrauch führen und damit den betroffenen Client zum Absturz bringen.

Betroffene Systeme

Betroffen sind alle Systeme, die Net::BitTorrent Perl Module in Version 2.0.1 oder früher einsetzen. Dies umfasst:

• BitTorrent-Clients basierend auf dem Net::BitTorrent Modul
• Systeme mit DHT (Distributed Hash Table) Implementierungen
• Anwendungen, die externe .torrent-Dateien oder Magnet-Links verarbeiten

Technische Details

Die Vulnerability liegt in der rekursiven Implementierung des Bencode-Decoders. Der Decoder hat keine Tiefenbeschränkung (Depth Cap) und übergibt bei jedem Rekursionsaufruf den verbleibenden Buffer als Wert, nicht als Referenz. Dies führt zu O(N²) Speicherkomplexität bei N Verschachtelungsebenen.

Konkret: Jeder aktive Rekursionsframe kopiert den gesamten verbleibenden Buffer, was exponentiellen Speicherverbrauch zur Folge hat. Ein Bencode-Input mit etwa 150.000 verschachtelten Listen (150 KB über das Netzwerk) trigert einen Speicherspitzenwert im mehrstelligen Gigabyte-Bereich.

Der anfällige Decoder wird auf alle untrusted Bencode-Quellen angewendet:

• .torrent-Dateien
• BEP09 Metadaten von Peers
• DHT-Nachrichten
• Tracker-Antworten

Empfohlene Massnahmen

• Sofortige Migration: Aktualisierung auf eine gepatchte Version wenn verfügbar
• Workaround: Implementierung einer Maximumtiefe für Bencode-Verschachtelung im eigenen Code
• Netzwerk-Filtering: Blockierung verdächtig großer Bencode-Strukturen
• Ressourcen-Limits: Einführung strikter Speichergrenzen für Decoder-Prozesse
• Monitoring: Überwachung unerwarteter Speicherverbrauchsspitzen

Bewertung

CVSS Score: 7.5 (High) | Vektor: Network

Die Schwachstelle wird über Netzwerk ausgenutzt ohne Authentifizierung. Die Auswirkung ist ein garantierter Denial-of-Service. Mit verfügbarem Patch sollte eine zeitnahe Aktualisierung erfolgen