EEF-CVE-2026-55733: Unbounded Atom Allocation DoS in Guardian

EEF-CVE-2026-55733 脆弱性概要 脆弱性名称: EEF-CVE-2026-55733 脆弱性タイプ: リソース割り当てが無制限またはスロットリングなし（Allocation of Resources Without Limits or Throttling） 脆弱性説明: において、バインドされていない atom の作成によりサービス停止（Denial of Service）が発生する。 は、任意のバイナリを に渡すことで権限スコープをエンコードする。 で が呼び出された場合、各バイナリエントリは クローズで処理され、このクローズは allowlist チェックなしで を呼び出す。 パラメータ（アプリケーションの小さな合法的な権限名のセット）が破棄されるため、外部由来の文字列がそのまま atom の作成に流れ込む。このエンコーダは を使用し、インポートされた エントリを介して到達する。 影響: 新規 atom が作成されるたびに、BEAM の atom テーブルは約 1048,576 個のエントリで固定されている。攻撃者が制御する権限（リクエストパラメータ、JWT 宣言、その他の外部入力から）をアプリケーションがエンコードするため、各値が atom を1つ消費する。適度な量の未認証入力によって atom テーブルが永久的に枯渇し、BEAM ノードがクラッシュする結果、システム上で稼働するすべてのアプリケーションが停止する。 影響範囲 影響を受けるバージョン: Guardian 2.0.0 から 2.4.1 修正策 対処法: デフォルトの を に切り替えること（両者とも atom を作成しない）。あるいは、 に渡す前に、各権限値が設定された allowlist に合致するかどうかを検証する（未知の値を拒否する）。 その他 CVSS スコア: 9.9 (Medium) CVSS ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H 公開日: 2026-08-01T10:46:12Z 更新日: 2026-08-01T10:00:04.89199626Z 出典: https://cna.criel.org/osv/EEF-CVE-2026-55733.html JSON データ: https://api.osv.dev/v1/vulns/EEF-CVE-2026-55733

目標達成 すべての支援者に感謝 — 100%達成しました！

EEF-CVE-2026-55733: Unbounded Atom Allocation DoS in Guardian

目標達成すべての支援者に感謝 — 100%達成しました！