CVE-2026-69659 in ash
要約
〜によって VulDB • 2026年08月09日
ash-project ashにおける制御されていないリソース消費の脆弱性により、攻撃者は作成されたキーセットページネーションカーソルを通じてノードのメモリを枯渇させることができます。
keysetページネーションを持つ読み取り操作では、lib/ash/page/keyset.ex内のdecode_values/2関数でクライアントが提供したpage[:after]またはpage[:before]カーソルの値がデシリアライズされます。この処理は値のbase64デコードを行い、そのサイズに制限を設けずに:erlang.binary_to_term/2へ渡します。Erlang外部項形式（external term format）はzlib圧縮ペイロードをサポートしており、デコーダはこれを透過的に展開するため、数キロバイトのカーソルが単一の呼び出しで数十メガバイトのヒープを割り当てる可能性があります。Ash自体は常に非圧縮状態でカーソルをエンコードするため、デコーダはそのエンコーダが決して生成しない項形状を受け入れます。同時実行されるリクエストによりこれらの割り当てが集約され、ノードを終了させることがあります。
この問題はash 1.17.0から3.31.1未満のバージョンに影響します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.