CVE-2026-54451
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W bibliotece Elixir protobuf od wersji 0.8.0 do 0.16.1 usługi dekodujące dane protobuf kontrolowane przez atakującego mogą zostać wyłączone, gdy schemat zawiera typ wiadomości z odwołaniem cyklicznym lub samoodwołaniem. Dekoder rekurencyjnie przetwarza zagnieżdżone pola bez limitu głębokości, co pozwala stosunkowo małemu żądaniu zużyć znaczne zasoby CPU i pamięci oraz zablokować węzeł BEAM. Podatność została naprawiona w wersji 0.16.1.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania zasobów i niedostępności usługi (denial of service) poprzez wysłanie specjalnie spreparowanych danych protobuf. Może to zablokować scheduler BEAM i unieruchomić cały węzeł.
Rekomendacja
Zaktualizuj bibliotekę Elixir protobuf do wersji 0.16.1 lub nowszej. Rozważ ograniczenie rozmiaru i głębokości zagnieżdżenia przetwarzanych komunikatów protobuf na poziomie aplikacji.
Inne podatności w Elixir protobuf
Oryginalny opis (angielski, źródło NVD)
Elixir protobuf is a pure Elixir implementation of Google Protobuf. From 0.8.0 until 0.16.1, services that decode attacker-controlled protobuf bytes with Protobuf.Decoder can be taken offline when the schema contains a self-referential or cyclic message type. In lib/protobuf/decoder.ex, Protobuf.Decoder.value_for_field/3 handles an embedded?: true field by recursively entering the decode / build_message / handle_value / value_for_field call chain without enforcing a nesting-depth limit. Deeply nested embedded fields retain non-tail recursive frames, allowing a comparatively small request to consume substantial CPU and memory, pin a BEAM scheduler, and exhaust the node. This issue is fixed in version 0.16.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS