CVE-2026-69659
Açıklama
ash-project ash ürünündeki Kontrolsüz Kaynak Tüketimi zafiyeti, saldırganın özel olarak hazırlanmış bir keyset sayfalama imleci aracılığıyla düğümün belleğini tüketmesine olanak tanır. Keyset sayfalama içeren okuma eylemleri, istemci tarafından sağlanan page[:after] veya page[:before] imlecini lib/ash/page/keyset.ex dosyasındaki decode_values/2 içinde serileştirmeden çıkarır; bu işlev değeri base64 ile çözer ve boyutunu sınırlamadan :erlang.binary_to_term/2 işlevine geçirir. Erlang external term formatı zlib ile sıkıştırılmış yükleri destekler ve çözücü bunları şeffaf biçimde açar; bu nedenle birkaç kilobaytlık bir imleç tek bir çağrıda onlarca megabaytlık yığın belleği ayırabilir. Ash'in kendisi imleçleri yalnızca sıkıştırılmamış olarak kodlar, dolayısıyla çözücü, kodlayıcısının hiçbir zaman üretmediği bir terim biçimini kabul eder. Eşzamanlı istekler bu ayırmaları biriktirir ve düğümü sonlandırabilir. Bu sorun ash: 1.17.0 sürümünden itibaren 3.31.1 öncesine kadar etkiler.
Nasıl düzeltilir
- ash-hq ash_framework3.31.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-hq ash_framework | 1.17.0 ≤ v < 3.31.1 | 3.31.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.