JVNDB-2026-028917

Ash-HQのAsh Frameworkにおける信頼できないデータのデシリアライゼーションに関する脆弱性

ash-projectのashにおける制御されていないリソース消費の脆弱性により、攻撃者が細工されたkeysetページネーションカーソルを介してノードのメモリを枯渇させることが可能です。keysetページネーションを用いた読み取りアクションは、lib/ash/page/keyset.exのdecode_values/2関数でクライアントから提供されたpage[:after]またはpage[:before]カーソルを逆シリアライズします。この処理では値をbase64デコードし、その後サイズ制限なしに:erlang.binary_to_term/2へ渡します。Erlang外部ターム形式はzlib圧縮されたペイロードをサポートしており、デコーダはこれを透過的に展開します。そのため、数キロバイトのカーソルが単一の呼び出しで数十メガバイトのヒープを割り当てる可能性があります。Ash自体はカーソルを圧縮せずにエンコードするのみであるため、デコーダはエンコーダが生成しない形状のタームも受け入れてしまいます。複数の同時リクエストによりこれらの割り当てが累積し、ノードが停止する恐れがあります。この問題はashのバージョン1.17.0以降、3.31.1未満に影響します。

Ash-HQ

• Ash Framework 1.17.0 以上 3.31.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-69659

GitHub

• GitHub : Memory exhaustion due to missing input validation when deserializing keyset pagination cursors  Advisory  ash-project/ash  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-69659 - OSV

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-69659

1. National Vulnerability Database (NVD) : CVE-2026-69659
2. 関連文書 : fix: limit keyset binary size  ash-project/ash@1816b10  GitHub

• [2026年08月20日]
    掲載