JVNDB-2026-027575

ueberauthのGuardianにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

ueberauth guardian（Guardian.Permissionsモジュール）における制限やスロットリングなしのリソース割り当ての脆弱性により、BEAMのアトムテーブルが枯渇し、サービス拒否（DoS）が可能となります。この脆弱性は、プログラムファイル lib/guardian/permissions.ex およびプログラムルーチン 'Elixir.Guardian.Permissions':encode_permissions!/1、'Elixir.Guardian.Permissions':encode_permissions_into_claims!/2、'Elixir.Guardian.Permissions':do_encode_permissions!/2 に関連しています。Guardian.Permissionsのミキシンは、Guardian.Permissionsを使用するすべてのモジュールに公開されたencode_permissions!/1関数をインストールします。渡されたマップの各キーに対して、encode_permissions!/1は最初のバリデーションが実行される前に String.to_atom(to_string(k)) を呼び出します。do_encode_permissions!/2の整数値の節は、設定された許可セットに対してキーの検証を行わずに直接エンコード処理へショートサーキットします。したがって、整数値を持つキーは例外を発生させることなく新規のアトムとして内部化されます。アトムはガベージコレクションされず、BEAMのアトムテーブルは固定サイズのリソース（デフォルトでおよそ1,048,576エントリ）であるため、攻撃者が選択した一意のキーごとにテーブルのスロットが永続的に消費されます。リクエストボディから読み取り、encode_permissions_into_claims!/2を介してトークン発行に渡される許可マップのように、encode_permissions!/1に到達する許可マップを操作可能な攻撃者は、無制限に新規アトムを生成してアトムテーブルを枯渇させ、BEAMノード全体およびその上で稼働するすべてのサービスをクラッシュさせることが可能です。兄弟関数であるdecode_permissions/1は、設定された許可セットに存在しないキーをスキップするため、影響を受けません。この問題は、guardian バージョン 2.0.0 から 2.4.1未満のすべてに影響します。

ueberauth

• Guardian 2.0.0 以上 2.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-55734

GitHub

• GitHub : Atom exhaustion in `encode_permissions!`  Advisory  ueberauth/guardian  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-55734 - OSV

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-55734

1. National Vulnerability Database (NVD) : CVE-2026-55734
2. 関連文書 : Merge commit from fork  ueberauth/guardian@8d4efbf  GitHub

• [2026年08月10日]
    掲載