CVE-2026-82722
Təsvir
ash-project ash_admin daxilindəki Resursların Limitlərsiz və ya Tənzimləməsiz Ayırılması zəifliyi, admin LiveView-ya müraciət edə bilən hər hansı bir kliyentin BEAM atom cədvəlini doldurmasına və bütün nodu çökdürməsinə şərait yaradır. İki LiveView hadisə idarəçisi təsdiqlənməmiş kliyent girişindən atomları internləyirdi: AshAdmin.PageLive-ın set_actor funksiyası resource/domain faylları ilə Module.concat/1 vasitəsilə modullar qururdu və AshAdmin.Components.Resource.Show-un calculate funksiyası göndərilən hər bir forma açarını String.to_atom/1 ilə çevirirdi. Atomlar heç vaxt zibil yığımı (garbage collection) ilə təmizlənmir və cədvəlin limiti var, buna görə də həmin hadisələrdən hər hansı birinin təsadüfi adlarla doldurulması, VM işi dayandırana qədər hər sorğu üçün yeni bir atom yaradır və noddakı bütün tətbiqləri sıradan çıxarır. Düzəliş, göndərilən resource/domain-i məlum göstərilən resurslara qarşı yoxlayır və hesablama açarlarını elan edilmiş arqumentlərə uyğunlaşdırır, beləliklə, kliyent tərəfindən təqdim edilən heç bir sətir internlənmir. Bu problem ash_admin-in 0.1.0 versiyasından 1.3.1 versiyasına qədər olan hissəsinə təsir edir.
Necə düzəltmək olar
- ash-project ash_admin1.3.1, 731dffa09416d68f4ad3a0b6ee146b285ca0083b və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ash-project ash_admin | 0.1.0 ≤ v < 1.3.1, 98b03baa8422b94dd13e305bf08b8ee3f7232c7b ≤ v < 731dffa09416d68f4ad3a0b6ee146b285ca0083b | 1.3.1, 731dffa09416d68f4ad3a0b6ee146b285ca0083b |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.