Fallos del tipo CWE-1088

5 resultados

Acesso síncrono a recurso remoto sem timeout

A aplicação faz uma requisição a um serviço remoto de forma bloqueante (síncrona) e não define um limite de tempo para aguardar a resposta. Se o serviço remoto ficar lento, indisponível ou não responder, a aplicação fica travada indefinidamente, consumindo recursos e podendo levar a negação de serviço (DoS).

Ejemplo

Um sistema de pagamento faz uma chamada HTTP síncrona a uma API de terceiros para validar o cartão, sem timeout configurado. Se aquela API cair ou ficar lenta, todas as threads da aplicação ficam bloqueadas aguardando resposta, e novos usuários não conseguem fazer compras.

Cómo mitigar

Configure sempre um timeout explícito em requisições remotas (ex: 5-30 segundos conforme o caso), use fila assíncrona ou thread pool com limite de recursos, e implemente circuit breaker para falhar rápido se o serviço remoto estiver inoperante.

CVE-2024-8062HIGHDenial of Service in h2oai/h2o-3EPSS 0.4%CVE-2024-8061HIGHDenial of Service in aimhubio/aimEPSS 0.4%CVE-2024-12777MEDIUMDenial of Service in aimhubio/aimEPSS 0.4%CVE-2020-14483—A timeout during a TLS handshake can result in the connection failing to terminate. This can result in a Niagara thread hanging and requiresEPSS 0.4%CVE-2025-4656LOWVault Vulnerable to Recovery Key Cancellation Denial of ServiceEPSS 0.2%