CVE-2026-82735
Təsvir
ash-project ash-dəki Nəzarətsiz Resurs İstehlakı zəifliyi hücumçuya uzunluq məhdudiyyətinin artıq rədd etməli olduğu giriş məlumatları üzərində resurs tutumlu müntəzəm ifadənin (regular expression) işlədilməsini məcburi etməyə imkan verir. Ash.Type.String.apply_constraints/2 (lib/ash/type/string.ex) eyni atributdakı min_length və max_length məhdudiyyətlərindən asılı olmayaraq :match reqeksini qiymətləndirirdi. Uzunluq yoxlaması reqeksin qarşısını almadığı üçün, uzunluq məhdudiyyətinin rədd etdiyi həddən artıq uzun dəyərə hələ də şablon tətbiq edilirdi, beləliklə, əks halda işi məhdudlaşdıracaq uzunluq limiti reqeks girişini heç vaxt məhdudlaşdırmırdı. Backtracking şablonuna qarşı bu, hücumçu tərəfindən təyin edilmiş ölçülü girişlərdə fəlakətli reqeks qiymətləndirməsinə səbəb olur və hətta xətti şablon belə istənilən böyüklükdə girişlər üzərində işləyərək hər sorğu üçün CPU istehlak edir. Düzəliş, uzunluq məhdudiyyəti pozulduqda :match reqeksini ötürür və beləliklə iki yoxlamanı ardıcıllıqdan asılına çevirir. Bu problem ash versiyalarını təsir edir: 0.10.0-dan 3.32.2-yə qədər.
Necə düzəltmək olar
- ash-project ash3.32.2, 14928412a1a94a69c47df8e98920d3a2b09cdec4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ash-project ash | 0.10.0 ≤ v < 3.32.2, 05848d5f4affe60fddd812222a18ada080c0813b ≤ v < 14928412a1a94a69c47df8e98920d3a2b09cdec4 | 3.32.2, 14928412a1a94a69c47df8e98920d3a2b09cdec4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.