CVE-2026-53430

elixir-grpc grpc (GRPC.Compressor.Gzip, GRPC.Message modulları) kitabxanasında yüksək sıxılmış məlumatların yanlış idarə edilməsi (Məlumatın gücləndirilməsi) zəifliyi, gzip dekompressiya bombası vasitəsilə xidmətdən imtinaya (DoS) şərait yaradır. Bu zəiflik lib/grpc/compressor/gzip.ex, lib/grpc/message.ex proqram faylları və 'Elixir.GRPC.Compressor.Gzip':decompress/1, 'Elixir.GRPC.Message':from_data/2 proqram rutinləri ilə əlaqəlidir. 'Elixir.GRPC.Compressor.Gzip':decompress/1 funksiyası hücum edən tərəf tərəfindən idarə olunan baytlara dekompressiya olunmuş ölçü limiti, nisbət yoxlaması və ya inkremental dekodlaşdırma olmadan birbaşa :zlib.gunzip/1 çağırışını yerinə yetirir. Bu modul qeydiyyatdan keçmiş gzip GRPC.Compressor implementasiyası olduğu üçün daxil olan hər bir gRPC freymi grpc-encoding: gzip başlığına malik olduqda avtomatik olaraq çağırılır. :zlib.gunzip/1 bütün dekompressiya edilmiş nəticəni tək bir binar kimi ayırdığı üçün kiçik və yüksək sıxıla bilən yükləmə (məsələn, gzip tərəfindən təxminən 1000:1 nisbətində sıxılan bir neçə kilobaytlıq sıfırlar) tək bir çağırış daxilində çox sayda giqabayta genişlənir. max_receive_message_length limiti yalnız artıq dekompressiya edilmiş mesaj üçün tətbiq edilir, buna görə də o, heç bir mühafizə təmin etmir. Autentifikasiya olunmamış uzaq tərəf, BEAM düyünün yığma yaddaşını (heap) doldurmaq və yaddaş çatışmazlığı səbəbindən prosesin sonlandırılmasına (out-of-memory kill) səbəb olmaq üçün xüsusi hazırlanmış tək bir freym göndərə bilər. Bu problem grpc: 0.4.0 versiyasından 1.0.0 versiyasına qədər olan versiyalara təsir edir.