CVE-2026-82759

Nome do Software Vulnerável e Versões Afetadas ash authentication versões 4.12.0 até 4.14.x ash authentication versões 5.0.0-rc.0 até 5.0.0-rc.13

Description O AshAuthentication apresenta um problema onde leitores do armazenamento de auditoria podem recuperar endereços IP de clientes que o modo de privacidade :hash do add-on de log de auditoria deveria pseudonimizar. A função hash ip/1 calcula um :crypto.hash(:sha256, salt <> ip) não chaveado e trunca o resultado para 16 caracteres hexadecimais. O salt é recuperado das chaves de configuração de aplicativo :audit log ip salt ou :secret; no entanto, ele assume a string constante "default-salt-change-in-production" se nenhuma for definida, sem emitir um aviso. Como o espaço de endereços IPv4 é limitado a 2^32 valores e o SHA-256 é computacionalmente eficiente, a tabela de hash pode ser pré-computada, permitindo que os valores armazenados sejam mapeados de volta aos seus endereços de origem. Este risco persiste mesmo com um salt configurado caso o salt seja vazado, pois o hash continua sendo barato de enumerar.

Recommendations Atualize o ash authentication para a versão 4.15.0 ou posterior. Atualize o ash authentication para a versão 5.0.0-rc.14 ou posterior. Como mitigação temporária, evite definir o modo ip privacy como :hash na configuração do add-on audit log, utilizando :none, :truncate ou :exclude em seu lugar.