CVE-2026-105274
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach narzędzia hexpm hex_core związana z niewłaściwą obsługą wysoce skompresowanych danych (wzmacnianie danych) umożliwia niezaufanemu serwerowi lustrzanemu repozytorium lub serwerowi odpowiadającemu na żądania API hex_core wyczerpanie pamięci maszyny wirtualnej Erlang, na której działa hex_core. Ten sam kod jest dostępny w formatach Hex (mix_hex_repo, mix_hex_api) i rebar3 (r3_hex_repo, r3_hex_api).
hex_repo:get_names/1, hex_repo:get_versions/1, hex_repo:get_package/2 i hex_repo:get_policy/2 dekompresują odpowiedź rejestru za pomocą zlib:gunzip/1 i dekodują podpisaną kopertę przed sprawdzeniem jej podpisu. Lustro nie ma klucza prywatnego repozytorium, ale wybiera skompresowane bajty, więc mała odpowiedź jest dekompresowana do koperty o dowolnym rozmiarze, zanim zostanie odrzucona przez kontrolę podpisu.
hex_api dekoduje odpowiedzi z typem zawartości application/vnd.hex+erlang poprzez hex_safe_binary_to_term:safe_binary_to_term/1, który wywołuje binary_to_term(Binary, [safe]). Opcja bezpieczna zapobiega tworzeniu atomów, ale akceptuje skompresowane terminy i nie ogranicza rozmiaru zdekodowanego terminu, a kontrola odrzucająca funkcje i porty jest wykonywana po zbudowaniu terminu. Poprawka dla CVE-2026-21619 dodała bezpieczną opcję, która sprawdza bez ograniczania dekodowanego rozmiaru.
Ten problem dotyczy zbrojenia3: od 3.9.1 przed 3.27.3; heks: od 2.1.0 przed 2.5.2; hex_core: od 0.1.0 przed 0.20.0.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-105274.html
- https://github.com/erlang/rebar3/commit/209c02ec57c2cc3207ee0174c3af3675b8dc8f79
- https://github.com/erlang/rebar3/commit/360838a22f5b3a88c0358207f2923059bcbb3afb
- https://github.com/hexpm/hex/commit/671f695ac548ed01f5828c2a739ecaa942b21007
- https://github.com/hexpm/hex/commit/d8b60eee97abb119d525306f048969a217d793a5
- https://github.com/hexpm/hex_core/commit/ebe25d110717f6a3addba5232cd4a7dc1c76b628
- https://github.com/hexpm/hex_core/commit/fbb6d9de472e5edb8d6fb6b32a91cb266137892e
- https://github.com/hexpm/hex_core/security/advisories/GHSA-7c4r-cgf9-9jmq
- https://osv.dev/vulnerability/EEF-CVE-2026-105274
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org