Falhas do tipo CWE-405

74 resultados

Consumo assimétrico de recursos (amplificação)

Ocorre quando um atacante consegue causar consumo desproporcional de recursos do servidor (CPU, memória, banda) enviando um volume pequeno de dados ou requisições simples. O servidor gasta muito mais para processar do que o atacante gasta para enviar, criando um desequilíbrio que facilita ataques de negação de serviço (DoS). Exemplos clássicos: algoritmos de busca ineficientes em grandes datasets, descompressão de dados comprimidos, ou processamento recursivo sem limite.

Exemplo

Um endpoint que aceita uma regex para buscar logs pode ser explorado com uma regex malformada que causa backtracking exponencial, fazendo o servidor queimar CPU enquanto o atacante envia apenas uma requisição HTTP simples; ou um servidor que descompacta arquivos ZIP sem validar tamanho descompactado, permitindo um arquivo pequeno que expande para terabytes.

Como mitigar

Implemente timeouts rigorosos para operações custosas (buscas, processamento), valide e limite tamanhos de entrada e saída esperados (máximo de caracteres em regex, proporção máximo entre comprimido/descomprimido), use rate limiting por cliente, e monitore padrões de consumo anormal de recursos. Revise algoritmos com custo computacional alto e considere trabalhos assíncronos ou filas para operações pesadas.

CVE-2026-75029MEDIUMMessage parser retains every identical singleton RDATA, enabling wire-to-work amplificationEPSS 0.5%CVE-2025-66564HIGHSigstore Timestamp Authority allocates excessive memory during request parsingEPSS 0.5%CVE-2025-42874HIGHDenial of service (DOS) in SAP NetWeaver (remote service for Xcelsius)EPSS 0.5%CVE-2026-0485HIGHDenial of service (DOS) vulnerability in SAP BusinessObjects BI PlatformEPSS 0.5%CVE-2026-68531LOWConcrete CMS below 9.5.3 is vulnerable to Authenticated Denial of Service via Unescaped SQL LIKE Wildcards in Keyword SearchEPSS 0.5%CVE-2026-104817HIGHMisskey: Lack of rate limiting and size restrictions in RSS fetching APIEPSS 0.5%CVE-2026-103880HIGHApache Directory LDAP API: Denial of service via excessive bcrypt cost factor in stored passwordsEPSS 0.4%CVE-2026-86432MEDIUMcommonmark 2.0.0 before 2.8.4 Denial of Service via XMLEPSS 0.4%CVE-2025-26516MEDIUMCVE-2025-26516 Denial of Service Vulnerability in StorageGRID (formerly StorageGRID Webscale)EPSS 0.4%CVE-2026-45557MEDIUMTechnitium DNS Server excessive DNSSEC requestsEPSS 0.4%CVE-2025-32394MEDIUMAutoGPT: There is a DoS vulnerability in AITextSummarizerBlockEPSS 0.4%CVE-2025-42873MEDIUMDenial of Service (DoS) in SAPUI5 framework (Markdown-it component)EPSS 0.4%CVE-2026-82309MEDIUMRobots::Validate versions from 0.3.2 before 0.3.11 for Perl allow unbounded outbound DNS queries per validation via a forward-confirmation loop that does not bound the names it queriesEPSS 0.4%CVE-2026-24324MEDIUMDenial of service (DOS) vulnerability in SAP BusinessObjects Business Intelligence Platform (AdminTools)EPSS 0.4%CVE-2025-49643MEDIUMFrontend DoS vulnerability due to asymmetric resource consumptionEPSS 0.4%CVE-2025-46598MEDIUMBitcoin Core through 29.0 allows a denial of service via a crafted transaction.EPSS 0.3%CVE-2026-104431HIGHZebra before 6.0.0 Denial of Service via Synchronous Script FFI VerificationEPSS 0.3%CVE-2026-104423HIGHZebra before 6.2.1 Denial of Service via Uncapped V6 Shielded Proof VerificationEPSS 0.3%CVE-2024-0450MEDIUMQuoted zip-bomb protection for zipfileEPSS 0.3%CVE-2026-15822HIGHIBM DataPower Gateway Denial of ServiceEPSS 0.3%