CVE-2026-105668 in hex
요약
\~에 의해 VulDB • 2026. 10. 12.
hexpm hex의 Protection Mechanism Failure 취약점으로 인해 패키지 소유자 또는 소유자의 계정을 탈취한 공격자가 새로 게시된 릴리스를 release-age cooldown(출시 후 대기 기간)을 우회하여 통과시킬 수 있습니다.
cooldown(config, HEX_COOLDOWN)은 의존성 해결 과정에서 구성된 연령보다 젊은 버전들을 차단합니다. mix.lock에 잠긴 패키지의 릴리스가 은퇴(retired)되거나 보안 권고사항이 있는 경우, Hex.RemoteConverger.build_cooldown_bypass/3 및 Hex.RemoteConverger.unsafe_lock_bypass/1 함수는 해당 패키지 및 잠긴 릴리스에 의존하는 모든 패키지의 모든 버전에 대해 cooldown을 해제합니다. 이를 통해 mix deps.update가 안전하지 않은 릴리스에서 벗어날 수 있습니다. 릴리스를 은퇴하려면 게시와 동일한 패키지 소유자 권한이 필요합니다. 공격자가 악성 릴리스를 게시하면 현재 잠겨 있는 릴리스를 은퇴할 수 있으며, 다음 mix deps.update 실행 시 패키지가 해제되면서 새 릴리스가 그 연령과 관계없이 선택됩니다. Hex.Registry.Cooldown.versions/2는 packageName(패키지 이름)만으로 우회 여부를 확인하므로, 이 우회는 다른 저장소에 있는 동일한 이름을 가진 패키지에도 적용됩니다. 조직 의존성 정책을 통해 구성된 cooldown은 영향을 받지 않습니다.
이 문제는 hex: 2.5.0부터 2.5.2 미만 버전에서 발생합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.