CVE-2026-48854

WysokieCVSS 8.7

Opublikowano: 15/06/2026(UTC)Zaktualizowano: 25/10/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Biblioteka elixir-grpc w wersjach od 0.3.0-alpha.2 przed 1.0.0 pozwala nieuwierzytelnionym atakującym wyczerpać pamięć BEAM i zawiesić serwer poprzez strumieniowanie dużego lub powolnego ciała żądania unarnego. Funkcja read_full_body/3 gromadzi wszystkie fragmenty w jednym binarnym buforze bez limitu rozmiaru, a brak nagłówka grpc-timeout ustawia limit czasu na :infinity. Wystarczy jedno połączenie, aby wyczerpać pamięć i zawiesić węzeł.

Ocena ryzyka

Atakujący może zdalnie i bez uwierzytelnienia spowodować odmowę usługi, wyczerpując pamięć serwera. Prowadzi to do niedostępności usług opartych na gRPC.

Rekomendacja

Zaktualizuj elixir-grpc do wersji 1.0.0 lub nowszej. Rozważ wprowadzenie limitów rozmiaru ciała żądania i limitów czasu na poziomie infrastruktury.

Inne podatności w elixir-grpc

CVE-2026-48853Krytyczne
Biblioteka elixir-grpc (grpc) zawiera podatności deserializacji niezaufanych danych oraz alokacji zasobów bez ograniczeń. Nieuwierzytelniony atakujący może wysłać spreparowany ładunek z nagłówkiem Content-Type: application/grpc+erlpack, powodując wyczerpanie tablicy atomów i awarię węzła BEAM, a w niektórych przypadkach zdalne wykonanie kodu. Problem dotyczy wersji od 0.4.0 do 1.0.0.

Oryginalny opis (angielski, źródło NVD)

Allocation of Resources Without Limits or Throttling vulnerability in elixir-grpc grpc allows unauthenticated attackers to exhaust the BEAM's memory and crash the server by streaming a large or slow-trickle unary request body. 'Elixir.GRPC.Server.Adapters.Cowboy.Handler':read_full_body/3 (lib/grpc/server/adapters/cowboy/handler.ex) accumulates every received chunk into a single growing binary with no size cap. Additionally, when the client omits the grpc-timeout header, the per-chunk read timeout resolves to :infinity, allowing a slow-trickle client to keep the connection alive indefinitely while memory grows. A single connection is sufficient to exhaust server memory and crash the node. This issue affects grpc: from 0.3.0-alpha.2 before 1.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS