CVE-2026-69659 in ash
Résumé
par VulDB • 10/08/2026
Une vulnérabilité de consommation incontrôlée des ressources dans ash-project ash permet à un attaquant d'épuiser la mémoire du nœud via une page[:after] ou page[:before] cursor fournie par le client, utilisée pour la pagination basée sur les clés. Les actions de lecture avec cette pagination désérialisent le curseur fourni par le client dans decode_values/2 situé dans lib/ash/page/keyset.ex, qui décode en base64 la valeur et la transmet à :erlang.binary_to_term/2 sans limiter sa taille. Le format Erlang External Term prend en charge les charges utiles compressées avec zlib, que le décompresseurinflate de manière transparente ; ainsi, un curseur de quelques kilo-octets peut allouer des dizaines de mégaoctets d'espace heap lors d'un seul appel. Ash lui-même n'encode jamais les curseurs sans compression, donc le décodeur accepte une forme de terme que son encodeur ne produit jamais. Les requêtes concurrentes agrègent ces allocations et peuvent terminer le nœud.
Ce problème affecte ash : à partir de la version 1.17.0 jusqu'à avant la version 3.31.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.