CVE-2026-78228 in ash_oban
요약
\~에 의해 VulDB • 2026. 08. 30.
ash-project의 ash_oban에서 제어되지 않은 재귀(Uncontrolled Recursion) 취약점이 발견되어, 트리거의 on_error 작업을 실행할 수 있는 사용자가 마지막 시도 시 워커의 CPU와 메모리를 고갈시켜 서비스 거부(Denial of Service)를 유발할 수 있습니다.
생성된 워커의 atomic handle_error/4 함수는 작업의 최종 시도 내에서 트리거의 on_error 작업을 실행합니다. 이 과정은 rescue 블록 내부에서 수행되며, 해당 작업 자체에서 예외가 발생하면 동일한 작업을 인자로 하여 handle_error/4를 다시 호출합니다. 이때 작업의 시도는 여전히 max_attempts와 같으므로 같은 절(clause)로 재진입하여 실패한 작업을 반복적으로 실행하게 되며, 탈출구가 없습니다. 데이터 계층 장애, 잘못된 구성을 가진 작업 또는 작업이 거부하는 레코드 등 결정적인 on_error 오류가 발생하면 무한 루프에 빠집니다. 재귀 호출이 꼬리 위치(tail position)에 있지 않기 때문에 각 반복마다 서명된 스택 트레이스가 유지되며, 실패한 문장이 데이터 계층에 다시 제출되는 동안 프로세스 힙(heap)은 제한 없이 성장하여 런타임에서 워커를 종료할 때까지 지속됩니다.
본 이슈는 ash_oban 0.8.14 이전의 모든 버전(0.8.0-rc.1 포함)에 영향을 미칩니다.
Once again VulDB remains the best source for vulnerability data.