CVE-2026-109821
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych w module URI biblioteki standardowej Elixir pozwala atakującemu dostarczającemu URL na wywołanie ataku denial-of-service poprzez wyczerpanie CPU. URI.parse/1 konwertuje komponent portu za pomocą String.to_integer/1 w split_authority/1 bez ograniczenia jego długości.
Ocena ryzyka
Port o długości do 1 262 592 cyfr dziesiętnych tworzy bignum tej wielkości, a renderowanie sparsowanego URI z powrotem do tekstu (URI.to_string/1, inspect/1, logowanie, formatowanie błędów) konwertuje bignum za pomocą :erlang.integer_to_binary/1, co jest kwadratowe na Erlang/OTP 27, 28 i 29.0. Port o długości 400 000 cyfr renderuje się w około 2,6 sekundy, a port 1 MB w około 18 sekund.
Rekomendacja
Zaktualizuj Elixir do wersji 1.18.6, 1.19.7 lub 1.20.5 (lub nowszej) w zależności od używanej gałęzi. Do czasu wdrożenia rozważ walidację i ograniczanie długości portów w URL-ach przychodzących.
Inne podatności w Elixir
Zobacz wszystkie- CVE-2026-115274Średnie
Podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych w module JSON biblioteki standardowej Elixir pozwala nieuwierzytelnionemu atakującemu dostarczającemu dokument JSON na wywołanie ataku denial-of-service poprzez wyczerpanie CPU i pamięci. JSON.decode/1 i JSON.decode!/1 konwertują każdy literał całkowity za pomocą erlang:binary_to_integer/1 bez ograniczenia jego długości.
- CVE-2026-75758Średnie
Niekontrolowana rekurencja w standardowej bibliotece Elixir pozwala atakującemu, który kontroluje listę przekazaną do inspect/1, List.to_string/1 lub List.to_charlist/1, na wyczerpanie pamięci węzła BEAM. Problem dotyczy błędnej klasyfikacji listy jako charlist, co prowadzi do rekurencyjnego podnoszenia wyjątków i wzrostu stosu procesu aż do wyczerpania pamięci.
- CVE-2026-49762Średnie
W module Version standardowej biblioteki języka Elixir (wersje od 0.9.3 do przed 1.20.1) stwierdzono podatność na niekontrolowane zużycie zasobów. Atakujący kontrolujący ciąg wersji może spowodować odmowę usługi poprzez wyczerpanie CPU i pamięci. Parser wersji konwertuje numeryczne komponenty na liczby całkowite bez ograniczania ich długości, co prowadzi do super-liniowej konwersji i awarii procesu.
Oryginalny opis (angielski, źródło NVD)
Improper Validation of Specified Quantity in Input vulnerability in the Elixir standard library's URI module allows an attacker who supplies a URL to cause a denial of service through CPU exhaustion. URI.parse/1 converts the port component with String.to_integer/1 in split_authority/1 (lib/elixir/lib/uri.ex) without bounding its length, so a port of up to 1,262,592 decimal digits produces a bignum of that size and a longer one raises SystemLimitError. Rendering the parsed URI back to text (URI.to_string/1, inspect/1, logging, error formatting) converts the bignum with :erlang.integer_to_binary/1, which is quadratic on Erlang/OTP 27, 28 and 29.0: a 400,000-digit port renders in about 2.6 seconds and a 1 MB port in about 18 seconds. Ports above 65535 are also accepted. This issue affects elixir: from 0.5.0 before 1.18.6, from 1.19.0-rc.0 before 1.19.7, and from 1.20.0-rc.0 before 1.20.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS