CVE-2026-81319

Nome do Software Vulnerável e Versões Afetadas ash cloak versões 0.1.0 até 0.3.x

Description Existe um problema onde a desserialização de dados não confiáveis permite que um invasor que possa influenciar os bytes de uma coluna criptografada cause a falha do nó BEAM. Isso é feito disparando a criação ilimitada de átomos ou uma bomba de descompressão durante a descriptografia. A função AshCloak.Calculations.Decrypt decodifica o binário descriptografado usando Ash.Helpers.non executable binary to term/1 sem a opção :safe, fazendo com que os átomos no payload sejam internados e nunca coletados pelo garbage collector, enquanto formas compactadas são infladas transparentemente. Isso é particularmente crítico ao usar cifras não autenticadas, como AES.CTR, pois um invasor que conheça seu próprio texto simples pode realizar o XOR do texto cifrado em um payload forjado. Um pequeno payload compactado pode inflar para gigabytes, ou algumas centenas de kilobytes de átomos distintos podem esgotar a tabela de átomos.

Recommendations Atualize o ash cloak para a versão 0.4.0 ou posterior. Evite o uso de cifras de cofre não autenticadas, como AES.CTR, para evitar a modificação não autorizada do texto cifrado.