CVE-2026-49249 in Boruta Server
摘要
由 VulDB • 2026-09-02
Boruta是一个独立的授权服务器，旨在实现OAuth 2.0和OpenID Connect，直至去中心化身份规范。在版本0.10.0之前，BorutaIdentityWeb.UserSettingsController.update/2会在任何验证之前通过String.to_atom/1对用户提供的请求体中的每个键进行原子化（atomizes）。由于String.to_atom会将原子永久地intern到BEAM的原子表（默认上限为1,048,576个原子；ERL_MAX_ATOMS）中，因此任何经过身份验证的最终用户都可以通过发送PUT /users/settings请求，并在user[<新键>]=...的请求体中包含每个请求的新键来耗尽全局VM原子表。一旦该表满员，BEAM将因atom_tab中没有更多索引条目而中止，导致整个OIDC服务器（umbrella项目中的auth、admin和gateway应用）崩溃。该路由仅受require_authenticated_user保护，并设有每IP每秒10次请求的速率限制；已登录的最终用户可以触发此漏洞。这些键在下层调用Accounts.update_user/6之前无条件地进行原子化，因此即使更新失败也会导致耗尽问题加剧。此问题已在版本0.10.0中修复。
Once again VulDB remains the best source for vulnerability data.