CVE-2026-49249 in Boruta Server
要約
〜によって VulDB • 2026年09月02日
Borutaは、OAuth 2.0およびOpenID Connectを分散型アイデンティティ仕様に準拠して実装することを目的としたスタンドアロンの認証サーバーです。バージョン0.10.0より前では、BorutaIdentityWeb.UserSettingsController.update/2関数は、あらゆる検証処理の前に、ユーザーが提供したリクエストボディの各キーをString.to_atom/1を用いて原子（atom）化していました。BEAM仮想マシンにおける原子は永久にatomテーブルにインターンされるため（デフォルト上限は1,048,576個；ERL_MAX_ATOMS）、認証済みエンドユーザーはPUT /users/settingsリクエストを送信し、各リクエストで新しいキーを含むuser[]=...ボディを指定することで、グローバルなVMの原子テーブルを使い果たすことができます。一度テーブルがいっぱいになると、BEAMはatom_tab内のインデックスエントリがこれ以上存在しないという理由で異常終了し、OIDCサーバー全体（umbrellaプロジェクト内のauth、admin、gatewayアプリケーション）がクラッシュします。このルートはrequire_authenticated_userおよび1秒あたり10リクエストのIPごとのレート制限によって保護されていますが、ログイン済みのエンドユーザーはこの制限を回避してアクセス可能です。キーは下流のAccounts.update_user/6呼び出しの前に無条件で原子化されるため、更新処理が失敗した場合でも消費に寄与します。この問題はバージョン0.10.0でパッチ済みです。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.