JVNDB-2026-028921

Ash-HQのAsh Frameworkにおける複数の脆弱性

ash-projectのashにおける信頼されていないデータのデシリアライズの脆弱性により、認証されていない攻撃者が偽造されたキーセットページネーションカーソルを介してフィルター式を注入でき、データレイヤーに応じてSQLインジェクションまたはコード実行が発生する可能性があります。キーセットページネーションを使用した読み取り操作は、lib/ash/page/keyset.ex内のdecode_values/2でクライアントが提供するpage[:after]またはpage[:before]カーソルを、[:safe]オプション付きのnon_executable_binary_to_term/2でデコードします。このガードは新しいアトム、ファン、ポートをブロックしますが、実行中のAshアプリケーションで既にインターンされたアトムから構成される構造体はブロックしません。そのため、デコードされた%Ash.Query.Call{}式が残存し、do_filters/4内のキーセットフィルターに比較値として組み込まれて評価されます。カーソルはAsh.Exprマクロをバイパスするため、ランタイムは通常拒否するprivate?/public?ゲートを適用しません。AshPostgresの場合、注入された断片がSQLクエリにインライン挿入され、ETSおよびSimpleデータレイヤーではプロセス内で任意の関数呼び出しとして評価されます。この問題はashバージョン1.17.0以降から3.31.3未満のバージョンに影響を与えます。

Ash-HQ

• Ash Framework 1.17.0 以上 3.31.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-67579

GitHub

• GitHub : SQL injection / code execution via crafted keyset pagination cursor (data-layer dependent)  Advisory  ash-project/ash  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-67579 - OSV

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]
2. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-67579

1. National Vulnerability Database (NVD) : CVE-2026-67579
2. 関連文書 : fix: do not accept any `%Ash.Expr{}` terms via keysets  ash-project/ash@91874dd  GitHub

• [2026年08月20日]
    掲載