Erlang Req Library Decompression Bomb DoS Vulnerability CVE-2026-49755

EEF-CVE-2026-49755 脆弱性概要 脆弱性タイプ: 自動デコードされたアーカイブおよび圧縮応答本文によるReqでの解圧縮ボンバDoS 脆弱性の説明: wojtekmachのReqにおける、過度に圧縮されたデータの不適切な処理（データ増幅）脆弱性により、攻撃者が制御するHTTPサーバーが、圧縮ボンバ応答本文を通じてReqクライアントのメモリを枯渇させることができます。 CVSSスコア: 9.2（重大） 影響範囲 影響を受けるバージョン: req: 0.10から0.6.1未満 影響メカニズム: - Reqのデフォルトの応答パイプラインには、 内に と が含まれています。 - サーバーによって提供されるContent-Type（またはURL拡張子）に応じてディスパッチし、 の場合に 、 の場合に 、 および の場合に を呼び出します。 - 各関数は、エントリごとまたは合計サイズの上限がない状態で、完全に解圧縮されたアーカイブの内容をメモリ内で リストとして返します。 - の解圧縮処理はcontent-encodingヘッダをたどり、 / / のデコーダーをチェーン化するため、 とcontent-encodingを宣言した応答は、境界なしに複数層で膨張します。 - 両方のステップはデフォルトで有効で、呼び出し側によるオプトインは不要であり、攻撃者は自サーバー（またはReqの自動リダイレクト追跡によって到達する任意のホスト）において、Content-Typeとcontent-encodingヘッダを制御できます。 - サブメガバイト単位の応答が被害者側で数GBに膨張し、BEAMプロセスをクラッシュさせる可能性があります。 修正対策 暫定措置: - 攻撃者に影響されるURLを取得するリクエストにおいて、 / に を渡すことで、Reqの自動本文デコードを無効にします。 - content-encodingによる解圧縮パイプラインもスキップするには、 を渡します。両方のオプションにより、応答本文は送信用の生バイトのままであるため、呼び出し側は解圧縮前にサイズチェックを行うことができます。

目標達成 すべての支援者に感謝 — 100%達成しました！

Erlang Req Library Decompression Bomb DoS Vulnerability CVE-2026-49755

目標達成すべての支援者に感謝 — 100%達成しました！