CVE-2026-49249 in Boruta Server
Resumen
por VulDB • 2026-09-02
Boruta es un servidor de autorización independiente que tiene como objetivo implementar OAuth 2.0 y OpenID Connect hasta las especificaciones de identidad descentralizada. Antes de la versión 0.10.0, BorutaIdentityWeb.UserSettingsController.update/2 atomiza cada clave del cuerpo de la solicitud proporcionado por el usuario mediante String.to_atom/1 antes de cualquier validación. Dado que String.to_atom internar los átomos permanentemente en la tabla de átomos de BEAM (límite predeterminado de 1,048,576 átomos; ERL_MAX_ATOMS), cualquier usuario final autenticado puede enviar PUT /users/settings con un cuerpo user[<fresh-key>]=... que contenga claves nuevas por solicitud y agotar la tabla global de átomos del VM. Una vez que la tabla está llena, BEAM se interrumpe sin más entradas de índice en atom_tab y todo el servidor OIDC (aplicaciones auth, admin y gateway en el umbrella) falla. La ruta solo está protegida por require_authenticated_user y un límite de velocidad por IP de 10 solicitudes/segundo; un usuario final conectado puede acceder a ella. Las claves se convierten en átomos incondicionalmente antes de la llamada downstream Accounts.update_user/6, por lo que incluso las actualizaciones fallidas contribuyen al agotamiento. Este problema ha sido parcheado en la versión 0.10.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.