PT-2026-69308
CVE-2026-69659
·
تاريخ النشر
2026-08-09
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 4.0
5.9
متوسطةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ash-project ash من 1.17.0 إلى 3.31.0
الوصف
توجد مشكلة استهلاك غير خاضع للرقابة للموارد، حيث يمكن للمهاجم استنفاد ذاكرة العقدة باستخدام مؤشر ترقيم صفحات مصمم خصيصًا لمجموعة المفاتيح. تعمل إجراءات القراءة التي تستخدم ترقيم صفحات مجموعة المفاتيح على فك تسلسل المؤشرات المقدمة من العميل عبر الدالة
decode values/2 الموجودة في lib/ash/page/keyset.ex. تقوم هذه العملية بفك تشفير القيمة باستخدام base64 وتمريرها إلى :erlang.binary to term/2 دون تحديد الحد الأقصى للحجم. ونظرًا لأن تنسيق المصطلح الخارجي لـ Erlang يدعم الحمولات المضغوطة بواسطة zlib، فقد يقوم برنامج فك التشفير بتضخيم مؤشر صغير إلى عشرات الميغابايت من ذاكرة الكومة. وبما أن البرنامج يقوم فقط بتشفير المؤشرات كبيانات غير مضغوطة، فإن برنامج فك التشفير يقبل أشكال المصطلحات التي لا ينتجها برنامج التشفير. يمكن أن تؤدي الطلبات المتزامنة المتعددة إلى تراكم هذه التخصيصات وتسبب إنهاء عمل العقدة. ويتضمن ذلك المتغيرين page[:after] وpage[:before].التوصيات
قم بتحديث ash-project ash إلى الإصدار 3.31.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾