CVE-2026-77856
Açıklama
ash-project ash_typescript bileşenindeki Sınırlandırılmamış veya Kontrol Edilmemiş Kaynak Tahsisi zafiyeti, kimliği doğrulanmamış bir saldırganın istemci tarafından sağlanan türlendirilmiş yapı alanı adları aracılığıyla BEAM atom tablosunu tüketmesine ve düğümü durdurmasına olanak tanır. lib/ash_typescript/rpc/field_processing/field_selector.ex dosyasındaki resolve_typed_struct_field/2 fonksiyonu, istemci tarafından sağlanan bir alan adını türlendirilmiş yapının ters eşlemesinde arar ve herhangi bir eşleşme bulamadığında String.to_atom/1 yöntemine başvurur. Bu işlem herhangi bir alan varlık kontrolünden önce çalıştığından, çözülemeyen bir ad bilinmeyen olarak reddedilmek yerine kalıcı bir atom oluşturur. Atomlar hiçbir zaman çöp toplama (garbage collection) işlemine tabi tutulmaz; bu nedenle, türlendirilmiş bir yapı alanında çok sayıda farklı ad taşıyan bir istek, VM sınırına ulaşıp durana kadar atom tablosunu büyütür. Bu sorun ash_typescript'in 0.11.0 ile 0.18.0 arasındaki sürümlerini etkilemektedir.
Nasıl düzeltilir
- ash-project ash_typescript0.18.0, 0ab5c83a7df28d51a6de1fb9b859a142b2b12919 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash_typescript | 0.11.0 ≤ v < 0.18.0, 7c3d30896f2f9a54edea17e3787549776b1b288d ≤ v < 0ab5c83a7df28d51a6de1fb9b859a142b2b12919 | 0.18.0, 0ab5c83a7df28d51a6de1fb9b859a142b2b12919 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.