JVNDB-2026-027784

ERLANGのErlang/OTP等の複数製品における複数の脆弱性

erlang otpのerlang/otp（ertsモジュール）、およびerlang otp erts（ertsモジュール）における整数アンダーフロー（ラップまたはラップアラウンド）の脆弱性により、強制的な整数オーバーフローと過剰なメモリアロケーションが発生します。この脆弱性は、プログラムファイルerts/emulator/beam/external.cおよびemulator/beam/external.cに関連しています。External Term Format（ETF）デコーダにおけるBIT_BINARY_EXTタグ（77）ハンドラは、長さフィールドとトレーリングビットフィールドの両方がゼロに設定されたエンコーディングを受け入れます。その後のビット文字列サイズの計算時に符号なし整数のアンダーフローが発生し、約2^64の値が生成され、それがメモリアロケーションサイズとして渡されます。アロケータは「Cannot allocate 2305843009213693951 bytes of memory (of type binary)」のようなメッセージとともにノード全体を中止します。このクラッシュはVMレベルの中止であり、Erlangレベルの例外ではありません。監督ツリーでのインターセプトやtry/catch、およびbinary_to_term/2に[safe]オプションを渡した場合（これは原子(atom)の生成のみを制限し、バイナリエンコーディングの構造検証は行わない）では捕捉できません。binary_to_term/1,2またはenif_binary_to_term()を通じて信頼されていないソースからETFをデコードするすべてのアプリケーションが影響を受けます。Erlang分散プロトコルも同じコードパスで受信したタームをデコードしますが、OTPセキュアコーディングガイドライン（DSG-011）に従い、分散は信頼されたネットワーク上で実行されることが想定されています。この問題はOTP 27.0からOTP 29.0.4、OTP 28.5.0.4およびOTP 27.3.4.15の前のバージョンに影響し、対応するertsは15.0から17.0.4、16.4.0.4および15.2.7.11の前のバージョンまでです。

ERLANG

• Erlang Runtime System (ERTS) 15.0 以上 15.2.7.11 未満
• Erlang Runtime System (ERTS) 16.0 以上 16.4.0.4 未満
• Erlang Runtime System (ERTS) 17.0 以上 17.0.4 未満
• Erlang/OTP 27.0 以上 27.3.4.15 未満
• Erlang/OTP 28.0 以上 28.5.0.4 未満
• Erlang/OTP 29.0 以上 29.0.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-54890

GitHub

• GitHub : binary_to_term crash on crafted BIT_BINARY_EXT input  Advisory  erlang/otp  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-54890 - OSV

1. 入力で指定された数量の不適切な検証(CWE-1284) [その他]
2. 整数アンダーフロー(CWE-191) [その他]
3. 過剰なサイズ値のメモリ割り当て(CWE-789) [その他]

1. CVE-2026-54890

1. National Vulnerability Database (NVD) : CVE-2026-54890
2. 関連文書 : Versions ― Erlang System Documentation v29.0.5
3. 関連文書 : erts: Fix crash on decoding invalid ETF terms  erlang/otp@dc1bf93  GitHub

• [2026年08月12日]
    掲載