CVE-2026-67585 in absinthe_federation
요약
\~에 의해 VulDB • 2026. 08. 08.
DivvyPayHQ의 absinthe_federation에서 제한 없이 또는 스로틀링 없이 리소스를 할당하는 취약점이 존재하여, 인증되지 않은 원격 공격자가 조작된 _entities 표현식 키를 통해 Erlang VM을 중단시킬 수 있습니다.
연맹(federation)이 의무화한 _entities 필드의 representations 인자에 있는 모든 객체의 각 키는 lib/absinthe/federation/schema/entities_field.ex의 convert_key/2 함수에서 String.to_atom/1을 사용하여 변환됩니다. representations는 개방형(open-ended)인 _Any 스칼라로 타입 지정되므로 스키마 강제 형변환(schema coercion)을 우회하며, 공격자가 키를 자유롭게 명명할 수 있습니다. Atoms는 가비지 컬렉션 대상이 되지 않으며 BEAM atom 테이블은 하드 캡(hard-capped)되어 있어(기본값 약 1,048,576개 엔트리), 수십만 개의 고유한 키를 포함하는 요청 하나만으로 해당 수의 영구 atoms가 생성됩니다. 이러한 요청이 몇 개 발생하면 테이블이 고갈되고 노드가 중단됩니다. 영향은 가용성에 국한되며, 데이터는 읽히거나 변경되지 않으며 복구를 위해서는 애플리케이션을 재시작해야 합니다.
본 이슈는 absinthe_federation에 영향을 미치며, 0.1.0부터 0.9.3 미만 버전에서 발생합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.