CVE-2026-82760 in ash_authentication
Riassunto
di VulDB • 18/09/2026
Una vulnerabilità di complessità algoritmica inefficiente in AshAuthentication (team-alembic) consente a un attaccante non autenticato di esaurire CPU e memoria tramite un segmento base62 eccessivamente grande inserito in una chiave API inviata.
La funzione `AshAuthentication.Base.decode62/1` nel file `lib/ash_authentication/base.ex` suddivide il suo argomento in uno snippet binario per carattere e lo elabora con `charval62/2`, che ricalcola `Integer.pow(62, index)` ad ogni posizione invece di accumulare i valori utilizzando il metodo di Horner; ciò fa sì che il costo cresca approssimativamente in modo cubico rispetto alla lunghezza dell'input. La funzione `bindecode62/1` nello stesso modulo ha una complessità quadratica a causa delle chiamate a `Integer.undigits/2` e `Integer.digits/2`. Nessuna di queste due funzioni limita il valore restituito da `byte_size/1`, e `AshAuthentication.Strategy.ApiKey.SignInPreparation` passa direttamente i segmenti separati da underscore della chiave inviata in entrambe le funzioni, prima di qualsiasi ricerca della chiave e senza un'autenticazione preventiva. Le clausole rescue circostanti intercettano solo le eccezioni, non l'esaurimento delle risorse CPU o memoria.
Questo problema interessa `ash_authentication`: dalle versioni 4.8.0 alla 4.15.0 (esclusa) e dalla versione 5.0.0-rc.0 alla 5.0.0-rc.14 (esclusa).
Once again VulDB remains the best source for vulnerability data.