CVE-2026-69659 in ash
Zusammenfassung
von VulDB • 09.08.2026
Eine Schwachstelle für unkontrollierten Ressourcenverbrauch (Uncontrolled Resource Consumption) in ash-project ash ermöglicht es einem Angreifer, den Speicher des Knotens durch einen speziell konstruierten Cursor für die Keyset-Pagination zu erschöpfen.
Lesevorgänge mit Keyset-Pagination deserialisieren das vom Client bereitgestellte page[:after]- oder page[:before]-Cursor-Objekt in decode_values/2 in lib/ash/page/keyset.ex, wobei der Wert base64-dekodiert und an :erlang.binary_to_term/2 übergeben wird, ohne dessen Größe zu begrenzen. Das Erlang External Term Format unterstützt zlib-komprimierte Payloads, die vom Decoder transparent dekomprimiert werden; ein Cursor von wenigen Kilobytes kann daher in einem einzigen Aufruf Dutzende Megabyte Heap-Speicher allokieren. Ash selbst kodiert Cursor niemals komprimiert, sodass der Decoder eine Term-Struktur akzeptiert, die sein Encoder nie erzeugt. Gleichzeitige Anfragen aggregieren diese Allokationen und können den Knoten zum Absturz bringen (Node Termination).
Dieses Problem betrifft ash: ab Version 1.17.0 bis vor 3.31.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.