Falhas do tipo CWE-405

45 resultados

Consumo assimétrico de recursos (amplificação)

Ocorre quando um atacante consegue causar consumo desproporcional de recursos do servidor (CPU, memória, banda) enviando um volume pequeno de dados ou requisições simples. O servidor gasta muito mais para processar do que o atacante gasta para enviar, criando um desequilíbrio que facilita ataques de negação de serviço (DoS). Exemplos clássicos: algoritmos de busca ineficientes em grandes datasets, descompressão de dados comprimidos, ou processamento recursivo sem limite.

Exemplo

Um endpoint que aceita uma regex para buscar logs pode ser explorado com uma regex malformada que causa backtracking exponencial, fazendo o servidor queimar CPU enquanto o atacante envia apenas uma requisição HTTP simples; ou um servidor que descompacta arquivos ZIP sem validar tamanho descompactado, permitindo um arquivo pequeno que expande para terabytes.

Como mitigar

Implemente timeouts rigorosos para operações custosas (buscas, processamento), valide e limite tamanhos de entrada e saída esperados (máximo de caracteres em regex, proporção máximo entre comprimido/descomprimido), use rate limiting por cliente, e monitore padrões de consumo anormal de recursos. Revise algoritmos com custo computacional alto e considere trabalhos assíncronos ou filas para operações pesadas.

CVE-2019-11479MEDIUMJonathan Looney discovered that the Linux kernel default MSS is hard-coded to 48 bytes. This allows a remote peer to fragment TCP resend queEPSS 91.7%CVE-2024-11187HIGHMany records in the additional section cause CPU exhaustionEPSS 15.5%CVE-2025-8677HIGHResource exhaustion via malformed DNSKEY handlingEPSS 11.2%CVE-2021-38447HIGHOCI OpenDDS Secure AmplificationEPSS 2.1%CVE-2021-21359MEDIUMDenial of Service in Page Error HandlingEPSS 1.7%CVE-2026-47774HIGHEnvoy vulnerable to HTTP/2 memory exhaustion via cookie header size bypass and HPACK amplificationEPSS 1.0%CVE-2024-34702MEDIUMBotan has a Denial of Service Due to Excessive Name ConstraintsEPSS 0.8%CVE-2024-45590HIGHbody-parser vulnerable to denial of service when url encoding is enabledEPSS 0.8%CVE-2026-25611HIGHPre-Authentication Memory Exhaustion Denial of Service in MongoDB ServerEPSS 0.8%CVE-2024-55628HIGHSuricata oversized resource names utilizing DNS name compression can lead to resource starvationEPSS 0.7%CVE-2025-30204HIGHjwt-go allows excessive memory allocation during header parsingEPSS 0.7%CVE-2025-24356MEDIUMUDP traffic amplification via fastd's fast reconnect featureEPSS 0.7%CVE-2023-2992HIGHAn unauthenticated  denial of service vulnerability exists in the SMM v1, SMM v2, and FPC management web server which can be triggered underEPSS 0.6%CVE-2024-40705MEDIUMIBM InfoSphere Information Server denial of serviceEPSS 0.6%CVE-2025-25186MEDIUMNet::IMAP vulnerable to possible DoS by memory exhaustionEPSS 0.6%CVE-2024-28214LOWnGrinder before 3.5.9 allows to set delay without limitation, which could be the cause of Denial of Service by remote attacker.EPSS 0.6%CVE-2024-56200HIGHUncontrolled Recursion and Asymmetric Resource Consumption in Altair media/file proxyEPSS 0.6%CVE-2024-39743MEDIUMIBM MQ Container denial of serviceEPSS 0.6%CVE-2026-22775HIGHdevalue vulnerable to denial of service due to memory/CPU exhaustion in devalue.parseEPSS 0.6%CVE-2026-22774HIGHdevalue vulnerable to denial of service due to memory exhaustion in devalue.parseEPSS 0.6%