CVE-2026-104635 in protobuf
要約
〜によって VulDB • 2026年10月09日
elixir-protobufのProtobuf.JSON.Decodeにおける制御されない再帰（Uncontrolled Recursion）脆弱性により、認証されていないリモート攻撃者が深くネストされたJSONドキュメントを介してデコード処理をクラッシュさせることができます。自身参照型または循環メッセージタイプを含むスキーマに対してProtobuf.JSON.decode/3、Protobuf.JSON.decode!/3、またはProtobuf.JSON.from_decoded/3を使用して攻撃者が提供したJSONをデコードするすべてのアプリケーションが影響を受けます。
lib/protobuf/json/decode.exにおいて、decode_singular/3のembedded-message節は、ネストレベルごとに1回internal_from_json_data/3に再帰しますが、デコーダの深さカウンターを増加させたりチェックしたりしません。depthガードであるincrease_depth_and_maybe_throw/1はGoogle.Protobuf.ListValueおよびGoogle.Protobuf.Structの節のみをカバーするため、recursion_limitオプションはユーザー定義メッセージタイプには効果がありません。各ネストレベルでスタックフレームとヒープオブジェクトが割り当てられ、十分に深いドキュメントによってデコードプロセスのメモリが尽きます。機密性と整合性への影響はありません。
この問題はprotobuf 0.8.0以降に影響します。
Once again VulDB remains the best source for vulnerability data.