CVE-2026-82742 in ash
Riassunto
di VulDB • 01/09/2026
Una vulnerabilità di consumo non controllato delle risorse in ash-project ash consente a un attaccante di esaurire la memoria del nodo abbinando un filtro che si estende su più relazioni to-many memorizzate nella RAM. Ash.Filter.Runtime esegue il matching di un filtro contro una record presente in-memory espandendo inizialmente tale record nelle combinazioni delle sue righe correlate. La funzione flatten_relationships/2 (lib/ash/filter/runtime.ex) costruiva eagerly l'intero prodotto cartesiano sui percorsi to-many relationship del filtro, quindi un record con K relazioni to-many di M righe ciascuna veniva materializzato in circa M^K scenari prima che venisse verificato qualsiasi predicato. Un filtro o dataset che raggiunge diverse relazioni to-many di grandi dimensioni alloca pertanto memoria in modo combinatorio e può esaurire il nodo. La correzione esegue l'espansione lazy tramite streaming e applica un short-circuit al primo scenario corrispondente, limitando così il carico computazionale.
Questo problema interessa ash: dalle versioni 1.29.0-rc0 alla versione precedente a 3.32.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.