Mittel

ReDoS in Sec-Websocket-Protocol header

Veröffentlicht: 28.05.2021
Aktualisiert: 11.10.2026 10:22

Impact

A specially crafted value of the Sec-Websocket-Protocol header can be used to significantly slow down a ws server.

Proof of concept

for (const length of [1000, 2000, 4000, 8000, 16000, 32000]) {
  const value = 'b' + ' '.repeat(length) + 'x';
  const start = process.hrtime.bigint();

  value.trim().split(/ *, */);

  const end = process.hrtime.bigint();

  console.log('length = %d, time = %f ns', length, end - start);
}

Patches

The vulnerability was fixed in ws@7.4.6 (https://github.com/websockets/ws/commit/00c425ec77993773d823f018f64a5c44e17023ff) and backported to ws@6.2.2 (https://github.com/websockets/ws/commit/78c676d2a1acefbc05292e9f7ea0a9457704bf1b) and ws@5.2.3 (https://github.com/websockets/ws/commit/76d47c1479002022a3e4357b3c9f0e23a68d4cd2).

Workarounds

In vulnerable versions of ws, the issue can be mitigated by reducing the maximum allowed length of the request headers using the --max-http-header-size=size and/or the maxHeaderSize options.

Credits

The vulnerability was responsibly disclosed along with a fix in private by Robert McLaughlin from University of California, Santa Barbara.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	ws	>= 7.0.0, < 7.4.6, >= 6.0.0, < 6.2.2, >= 5.0.0, < 5.2.3	7.4.6, 6.2.2, 5.2.3

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-345, CWE-400
Plattform: npm
Paket: ws
Veröffentlicht: 28.05.2021
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-6fc8-4gx4-v693 - CC BY 4.0

Schwachstellenhistorie: ws

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 7
Erste → letzte: 02.2019 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 4
Mittel 2
Niedrig 1

Veröffentlichungen pro Jahr

2019: 3
2020: 0
2021: 1
2022: 0
2023: 0
2024: 1
2025: 0
2026: 2

15.06.2026

ws: Memory exhaustion DoS from tiny fragments and data chunks

Hoch · 7.5 CVE-2026-48779 >= 1.1.0, < 5.2.5, >= 6.0.0, < 6.2.4, >= 7.0.0, < 7.5.11, >= 8.0.0, < 8.21.0 5.2.5, 6.2.4, 7.5.11, 8.21.0
18.05.2026

ws: Uninitialized memory disclosure

Mittel · 4.4 CVE-2026-45736 >= 8.0.0, < 8.20.1 8.20.1
17.06.2024

ws affected by a DoS when handling a request with many HTTP headers

Hoch · 7.5 CVE-2024-37890 >= 2.1.0, < 5.2.4, >= 6.0.0, < 6.2.3, >= 7.0.0, < 7.5.10, >= 8.0.0, < 8.17.1 5.2.4, 6.2.3, 7.5.10, 8.17.1
28.05.2021

ReDoS in Sec-Websocket-Protocol header dieser Eintrag

Mittel · 5.3 CVE-2021-32640 >= 7.0.0, < 7.4.6, >= 6.0.0, < 6.2.2, >= 5.0.0, < 5.2.3 7.4.6, 6.2.2, 5.2.3
04.06.2019

Denial of Service in ws

Hoch · 7.5 ghsa-5v72-xg48-5rpm >= 0.6.0, < 1.1.5, >= 2.0.0, < 3.3.1 1.1.5, 3.3.1
18.02.2019

DoS due to excessively large websocket message in ws

Hoch CVE-2016-10542 < 1.1.1 1.1.1
18.02.2019

Remote Memory Disclosure in ws

Niedrig CVE-2016-10518 < 1.0.1 1.0.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden