Fastify 易受 DoS 攻击影响，由于 sendWebStream 中存在无边界内存分配

攻击者可以利用此漏洞向Fastify服务器发送精心构造的Web Streams响应，导致服务器过度缓冲数据，最终耗尽服务器内存。这可能导致服务器崩溃、响应时间显著增加，甚至整个应用程序不可用。由于Fastify广泛应用于构建高性能API和Web应用程序，因此该漏洞的影响范围可能相当广泛。攻击者无需身份验证即可发起攻击，增加了潜在风险。

Applications built with Fastify 5.x that utilize Web Streams for response handling are at risk. This includes applications serving large files or streaming data, particularly those deployed in environments with limited resources or where input validation is insufficient. Shared hosting environments running Fastify applications are also potentially vulnerable.

• nodejs / server:

ps aux | grep -i fastify | grep -i 'readableStream'

• nodejs / server:

journalctl -u fastify -f | grep -i 'backpressure'

• generic web: Use a load testing tool (e.g., ApacheBench) to send a large, slow stream to Fastify endpoints and monitor server memory usage. Look for sustained increases in memory consumption.

1. 2026-02-02Disclosure

   disclosure

1. 已保留2026-01-30
2. 发布日期2026-02-02
3. 修改日期2026-02-04
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级至Fastify 5.7.3或更高版本，该版本已修复此漏洞。如果无法立即升级，可以考虑避免在Fastify响应中发送Web Streams（例如，ReadableStream或Response主体）。 此外，实施速率限制和资源配额可以帮助减轻DoS攻击的影响。监控服务器资源使用情况，并设置警报以检测异常内存消耗，也有助于及时发现和响应潜在攻击。