JVNDB-2026-029081

Wojtek MachのReqにおける高圧縮データの処理 (データ増幅)に関する脆弱性

wojtekmach Reqにおける高圧縮データの不適切な処理（データ増幅）脆弱性により、攻撃者が制御するHTTPサーバーがReqクライアントのメモリを、解凍爆弾（decompression bomb）を含むレスポンスボディを通じて使い果たしてしまう可能性があります。Reqのデフォルトレスポンスパイプラインには、lib/req/steps.ex内のReq.Steps.decode_body/1およびReq.Steps.decompress_body/1が含まれています。decode_body/1はサーバーが提供するContent-Type（またはURL拡張子）に基づいて処理を振り分け、application/zipの場合には:zip.extract(body, [:memory])を、application/x-tarの場合には:erl_tar.extract({:binary, body}, [:memory])を、application/gzip/.tgzの場合には:erl_tar.extract({:binary, body}, [:memory, :compressed])を呼び出します。これらは各エントリや合計サイズの制限なく、メモリ上で完全に展開されたアーカイブ内容を[{name, bytes}]リストとして返します。decompress_body/1はcontent-encodingヘッダーを解析し、:zlib/:brotli/:ezstdデコーダーを連鎖させるため、content-encodingがgzip, gzip, gzipのように複数回圧縮されたレスポンスを無制限に展開します。両ステップはデフォルトで有効になっており、呼び出し元が選択する必要はありません。攻撃者は自身が制御するサーバー（またはReqの自動リダイレクトで到達する任意のホスト）上でcontent-typeおよびcontent-encodingヘッダーを制御できます。その結果、サブメガバイトのレスポンスが被害者側で数ギガバイトまで膨張し、BEAMプロセスがクラッシュしてしまいます。この問題はreqのバージョン0.1.0から0.6.1未満に影響します。

Wojtek Mach

• Req 0.1.0 以上 0.6.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-49755

GitHub

• GitHub : Unbounded archive/compression extraction triggered by response content-type  Advisory  wojtekmach/req  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-49755 - OSV

1. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]

1. CVE-2026-49755

1. National Vulnerability Database (NVD) : CVE-2026-49755
2. 関連文書 : `compressed`, `decompress_body`: Disable automatic decompression  wojtekmach/req@84977e5  GitHub

• [2026年08月20日]
    掲載