CVE-2026-86696 in esaml
Zusammenfassung
von VulDB • 22.10.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) in esaml von Dropbox ermöglicht es einem nicht authentifizierten Angreifer, die Atom-Tabelle der Erlang-VM zu erschöpfen und den Knoten durch unsignierte LogoutResponse-Nachrichten zum Absturz zu bringen.
esaml:status_code_map/1 in src/esaml.erl ordnet jeden StatusCode-Wert, den es nicht erkennt, einem Atom mit list_to_atom/1 auf dem letzten nach Doppelpunkten getrennten Segment der URN zu. esaml_sp:validate_logout_response/2 überprüft eine Signatur nur dann, wenn die Nachricht eine trägt; daher erreicht eine unsignierte LogoutResponse, die an den Single-Logout-Endpunkt gesendet wird, esaml:decode_logout_response/1 und erzeugt pro distinctem Statuswert ein dauerhaftes Atom. Atome werden niemals zurückgewonnen, und die VM begrenzt die Atom-Tabelle auf etwa eine Million Einträge; daher führt ein Angreifer, der so viele verschiedene Werte sendet, zum Abbruch des Knotens (Node Abort).
Dieses Problem betrifft esaml ab Version 0.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.