CVE-2026-96618

Luka w zabezpieczeniach programu hexpm hex związana z niewłaściwą obsługą wysoce skompresowanych danych (wzmacnianie danych) umożliwia niezaufanemu pakietowi lustrzanemu wyczerpanie pamięci lub miejsca na dysku komputera z uruchomionym programem mix deps.get, mix deps.update, mix hex.package fetch lub mix hex.docs fetch.

Hex traktuje serwer lustrzany skonfigurowany z HEX_MIRROR_URL, HEX_MIRROR lub lustro_url jako niezaufany: nie wysyła do niego poświadczeń i sprawdza podpisy rejestru oraz sumy kontrolne pakietów, których lustro nie może sfałszować. Kilka ścieżek odpowiedzi zużywa pamięć lub dysk proporcjonalnie do tego, co wysyła kopia lustrzana przed uruchomieniem którejkolwiek z tych kontroli.

Hex.HTTP.request/5 wczytuje całą treść odpowiedzi do pamięci i dekompresuje ją za pomocą :zlib.gunzip/1 za każdym razem, gdy kodowanie treści odpowiedzi zawiera gzip, bez ograniczeń co do rozmiaru skompresowanego lub zdekompresowanego. Hex nie pyta o skompresowane odpowiedzi, więc serwer decyduje, czy ten krok zostanie uruchomiony. Dotyczy rejestru, pakietu, dokumentów i odpowiedzi API.

Paczki tar z pakietami nie mają limitu rozmiaru pobierania. Hex 2.5.1 przechowuje całą paczkę tar w pamięci i zapisuje ją w pamięci podręcznej, a gałąź programistyczna przesyła ją strumieniowo do pliku tymczasowego; limit tarballa 16 MiB jest sprawdzany tylko wtedy, gdy plik jest rozpakowany. Następnie archiwum tar jest rozpakowywane do deps/<app> w wersji 2.5.1 i do katalogu pomostowego w gałęzi rozwojowej, zanim jego sumy kontrolne zostaną porównane z rejestrem.

mix hex.docs fetch i miks hex.docs offline, gdy brakuje dokumentów, zapisz archiwum dokumentów na dysku i rozpakuj je za pomocą :mix_hex_erl_tar.extract/2 bez limitów 16 MiB skompresowanych i 128 MiB zdekompresowanych, które obowiązują w przypadku mix_hex_tarball:unpack_docs/3. Podpisany rejestr nie obejmuje plików tar z dokumentami, więc nic ich nie sprawdza.

Odpowiedzi rejestru są również dekompresowane przed sprawdzeniem ich podpisu, w kodzie hex_core dostarczanym przez dostawców Hex; ta część jest śledzona w https://github.com/hexpm/hex_core/security/advisories/GHSA-7c4r-cgf9-9jmq.

Ten problem dotyczy heksów: od 0.11.2 do 2.5.2.