Heimdall Security Logo

CVE-2026-105274

Vulnérabilité faible dans rebar3 (erlang)

CVSS 2.1 · Faible
EPSS 0.4%
erlang•rebar3•Versions : <d8b60eee97abb119d525306f048969a217d793a5, 2.1.0, <3.27.3, <360838a22f5b3a88c0358207f2923059bcbb3afb, <2.5.2, 3.9.1, 0.1.0, <0.20.0, 209c02ec57c2cc3207ee0174c3af3675b8dc8f79, fbb6d9de472e5edb8d6fb6b32a91cb266137892e, 671f695ac548ed01f5828c2a739ecaa942b21007, <ebe25d110717f6a3addba5232cd4a7dc1c76b628

Description

Improper Handling of Highly Compressed Data (Data Amplification) vulnerability in hexpm hex_core allows an untrusted repository mirror, or a server answering hex_core's API requests, to exhaust the memory of the Erlang VM running hex_core. The same code is vendored in Hex (mix_hex_repo, mix_hex_api) and rebar3 (r3_hex_repo, r3_hex_api). hex_repo:get_names/1, hex_repo:get_versions/1, hex_repo:get_package/2 and hex_repo:get_policy/2 decompress the registry response with zlib:gunzip/1 and decode the signed envelope before verifying its signature. A mirror doesn't have the repository's private key, but it chooses the compressed bytes, so a small response decompresses into an envelope of any size before the signature check rejects it. hex_api decodes responses with the application/vnd.hex+erlang content type through hex_safe_binary_to_term:safe_binary_to_term/1, which calls binary_to_term(Binary, [safe]). The safe option prevents atom creation, but it accepts compressed terms and doesn't limit the size of the decoded term, and the check that rejects functions and ports runs after the term has been built. The fix for CVE-2026-21619 added the safe option and that check without bounding the decoded size. This issue affects rebar3: from 3.9.1 before 3.27.3; hex: from 2.1.0 before 2.5.2; hex_core: from 0.1.0 before 0.20.0.

Gravité et risque d'exploitation

CVE-2026-105274 obtient un score CVSS de 2.1/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.42 %, ce qui la place devant 35.1 % des CVE référencées.

Que faire ?

  • Vérifiez si rebar3 (versions <d8b60eee97abb119d525306f048969a217d793a5, 2.1.0, <3.27.3, <360838a22f5b3a88c0358207f2923059bcbb3afb, <2.5.2, 3.9.1, 0.1.0, <0.20.0, 209c02ec57c2cc3207ee0174c3af3675b8dc8f79, fbb6d9de472e5edb8d6fb6b32a91cb266137892e, 671f695ac548ed01f5828c2a739ecaa942b21007, <ebe25d110717f6a3addba5232cd4a7dc1c76b628) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE