Elixir decimal library Unauthenticated DoS via Unbounded Exponent (CVE-2026-32686)

EEF-CVE-2026-32686 脆弱性概要 脆弱性概要 脆弱性名称: 無制限の指数により認証不要のDoSを誘発 (Unbounded exponent in decimal enables unauthenticated DoS) 脆弱性タイプ: リソース消費脆弱性 (Resource Consumption) 重大度: 9.9 (Medium) CVSS スコア: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:N 公開日: 2026-05-07T14:04:47Z 修正日: 2026-05-07T14:26:54Z 影響コンポーネント: ericmi/decimal (Elixir 言語用ライブラリ) 脆弱性情報 ライブラリは入力を解析する際に指数の大きさに制限を設けていません。極端に大きな指数を持つ decimal 値（例: ）の格納ではエラーになりません。その後、算術関数（ , , など）を呼び出すと、指数値に比例したメモリが割り当てられ、メモリ枯渇により BEAM VM がクラッシュします。 ユーザーからの decimal 入力を受け取り、その後に算術演算、丸め処理、整数または文字列形式への変換を実行するアプリケーションは、このリスクにさらされています。悪意のあるリクエスト 1 件だけでメモリオーバーフローによるクラッシュを引き起こす可能性があります。 影響範囲 影響バージョン: 0.1.0 から 3.0.0 より前 修正バージョン: 3.0.0 パッケージマネージャー: Hex (pkg:hex/decimal) Git リポジトリ: github.com/ericmi/decimal 修正方法 バージョン 3.0.0 以降にアップグレードしてください。 参考リンク GitHub 安全公告: https://github.com/ericmi/decimal/security/advisories/GHSA-rhv4-8758-ixYv CNA ページ: https://cna.erlef.org/cves/EEF-CVE-2026-32686.html 修正コミット: https://github.com/ericmi/decimal/commit/6a523f3a738c9974540e2fc7aa88ff258bb35ae Credits Peter Ulbrich - FINDER Eric Meadows-Jönsson - REMEDIATION_DEVELOPER José Valim - REMEDIATION_REVIEWER Wojtek Mach - REMEDIATION_REVIEWER Jonatan Männchen - ANALYST rozlaqda - REMEDIATION_REVIEWER Matthew Johnston - REMEDIATION_REVIEWER

目標達成 すべての支援者に感謝 — 100%達成しました！

Elixir decimal library Unauthenticated DoS via Unbounded Exponent (CVE-2026-32686)

目標達成すべての支援者に感謝 — 100%達成しました！