Fastify Vulnerable a DoS a través de Asignación de Memoria Ilimitada en sendWebStream

La vulnerabilidad DoS en Fastify se manifiesta cuando un cliente envía una respuesta ReadableStream (o Response con un cuerpo de Web Stream) a través de reply.send() y este cliente es lento o no lee los datos correctamente. Fastify, en versiones vulnerables, no gestiona adecuadamente la retroalimentación de presión (backpressure), lo que resulta en un almacenamiento en búfer ilimitado. Este almacenamiento excesivo puede consumir toda la memoria disponible del servidor, llevando a un fallo del proceso o a una severa degradación del servicio. La severidad del impacto depende de la capacidad del atacante para mantener una conexión persistente y enviar datos a un ritmo que sobrepase la capacidad de procesamiento del servidor.

Applications built with Fastify 5.x that utilize Web Streams for response handling are at risk. This includes applications serving large files or streaming data, particularly those deployed in environments with limited resources or where input validation is insufficient. Shared hosting environments running Fastify applications are also potentially vulnerable.

• nodejs / server:

ps aux | grep -i fastify | grep -i 'readableStream'

• nodejs / server:

journalctl -u fastify -f | grep -i 'backpressure'

• generic web: Use a load testing tool (e.g., ApacheBench) to send a large, slow stream to Fastify endpoints and monitor server memory usage. Look for sustained increases in memory consumption.

1. 2026-02-02Disclosure

   disclosure

1. Reservado2026-01-30
2. Publicada2026-02-02
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La solución principal es actualizar Fastify a la versión 5.7.3 o posterior, donde se ha corregido la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda evitar el uso de Web Streams en las respuestas de Fastify. Esto implica no enviar ReadableStream o Response con cuerpos de Web Stream a través de reply.send(). Como alternativa temporal, se podría implementar un mecanismo de timeout en el lado del servidor para limitar el tiempo que se espera a que el cliente consuma los datos del stream. Después de la actualización, verifique la corrección ejecutando pruebas de carga para asegurar que el servidor puede manejar el tráfico esperado sin agotar la memoria.