CVE-2026-82735 in ash
요약
\~에 의해 VulDB • 2026. 09. 01.
ash-project의 ash에서 제어되지 않은 리소스 소비(Uncontrolled Resource Consumption) 취약점이 발견되었습니다. 공격자는 길이 제한이 이미 거부해야 하는 입력에 대해 비용이 많이 드는 정규식(regular expression)을 실행하도록 유도할 수 있습니다.
Ash.Type.String.apply_constraints/2 (lib/ash/type/string.ex) 함수는 동일한 속성에 대한 min_length 및 max_length 제약 조건과 무관하게 :match 정규식을 평가했습니다. 길이 확인이 정규식의 실행을 차단하지 않았기 때문에, 길이 제한에 의해 거부되어야 하는 과장된 값(over-length value)에도 여전히 패턴이 적용되었습니다. 따라서 일반적으로 작업을 한정해야 할 길이 한계가 정규식 입력에는 영향을 미치지 않았습니다. 백트래킹(backtracking) 패턴의 경우 공격자가 의도한 크기의 입력에서 치명적인(regular expression evaluation catastrophe) 정규식 평가가 발생하며, 선형(linear) 패턴이라도 임의로 큰 크기(input)에 대해 실행되어 요청당 CPU 리소스를 소모합니다.
이 수정 사항은 길이 제약 조건 위반 시 :match 정규식을 건너뛰도록 하여 두 가지 확인 작업의 순서 의존성을 없앱니다.
본 이슈는 ash 패키지의 0.10.0 버전부터 3.32.2 미만 버전에 영향을 미칩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.