CVE-2026-96596
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach pętli z nieosiągalnym warunkiem wyjścia („Infinite Loop”) w Erlang OTP stdlib (moduł erl_tar), hexpm hex_core (moduł hex_erl_tar), hexpm hex (moduł mix_hex_erl_tar) i erlang rebar3 (moduł r3_hex_erl_tar) umożliwia atakującemu, który dostarcza archiwum tar, spowodowanie odmowy usługi za pośrednictwem spreparowanego GNU rzadki członek.
Kiedy erl_tar:extract/1,2 zapisuje element na dysk, erl_tar:stream_to_file_loop/3 domyślnie czyta go w fragmentach po 65536 bajtów. W przypadku rzadkiego elementu GNU, którego rzadka mapa kończy się przed jego rzeczywistym rozmiarem, erl_tar:do_sparse_read/3 dopasowuje klauzulę z dziurą końcową przed klauzulą o zerowej długości. Po zużyciu fragmentu klauzula końcowego otworu odczytuje zero bajtów, nie przesuwa pozycji i powtarza się w nieskończoność. Archiwum o wielkości 2048 bajtów utrzymuje proces rozpakowywania i jeden program planujący zajęty do momentu zakończenia procesu. Opcja {max_size, N} zapobiega temu tylko wtedy, gdy N jest mniejsze od rzeczywistego rozmiaru członka. Nie ma to wpływu na wyodrębnianie z opcją pamięci.
hex_core dostarcza własną kopię erl_tar jako hex_erl_tar, a Hex i rebar3 dostarczają hex_core z przedrostkami nazw modułów (mix_hex_erl_tar i r3_hex_erl_tar). Kopie te zawierają ten sam kod i nie wywołują erl_tar stdlib, więc ma to wpływ na każdą wersję OTP. Nie ma to wpływu na OTP 28, ale ma to wpływ na aplikację działającą na OTP 28, jeśli wyodrębnia archiwa za pomocą dotkniętej wersji hex_core, Hex lub rebar3.
Ten problem dotyczy OTP od OTP 29.0 przed OTP 29.1.2, co odpowiada stdlib od 8.0 przed 8.1.1 i rebar3 od 3.27.1 i nowszym oraz hex od 2.4.2 i nowszych; hex_core: od wersji 0.14.0 i nowszych.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-96596.html
- https://github.com/erlang/otp/commit/3086307f311b78b38644a7787a3aca6a3f95a9d5
- https://github.com/erlang/otp/commit/fbf2c7194f6fce4b7b66dc0bcaa4f6b4b85e088f
- https://github.com/erlang/otp/security/advisories/GHSA-phm5-m6cj-5382
- https://github.com/erlang/rebar3/commit/23dbdb5d1f87f56902aef296c88a20049cd0c6e4
- https://github.com/hexpm/hex/commit/5543a1919c709d8eb2b317f62aad76ca1eed375c
- https://github.com/hexpm/hex_core/commit/13bb9fbba418a406af614790b8d5cd458259ee70
- https://osv.dev/vulnerability/EEF-CVE-2026-96596
- https://www.erlang.org/doc/system/versions.html#order-of-versions
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org