CVE-2026-82735 in ash
Zusammenfassung
von VulDB • 01.09.2026
Eine Schwachstelle für unkontrollierten Ressourcenverbrauch (Uncontrolled Resource Consumption) in ash-project ash ermöglicht es einem Angreifer, eine rechenintensive reguläre Expression auf Eingaben auszuführen, die aufgrund von Längenbeschränkungen eigentlich abgelehnt werden sollten.
Ash.Type.String.apply_constraints/2 (lib/ash/type/string.ex) hat den :match-Regex unabhängig von den min_length- und max_length-Beschränkungen für dasselbe Attribut ausgewertet. Da der Längentest die Regex nicht filterte, wurde das Muster auch auf überlange Werte angewendet, die durch die Längenbeschränkung abgelehnt wurden; somit beschränkte das Längenlimit, welches die Arbeitslast sonst begrenzt hätte, den Eingabedatenstrom für die Regex nicht. Bei einem backtracking-fähigen Muster führt dies zu einer katastrophalen Auswertung der regulären Expression bei angreiferkontrollierten Eingaben, und selbst ein lineares Muster wird auf beliebig großen Eingaben ausgeführt, was pro Anfrage CPU-Ressourcen verbraucht. Die Korrektur überspringt die :match-Regex immer dann, wenn eine Längenbeschränkung verletzt ist, wodurch beide Prüfungen unabhängig von ihrer Reihenfolge werden (order-independent).
Dieses Problem betrifft ash: ab Version 0.10.0 bis vor 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.