🇰🇷 한글 설명
DivvyPayHQ absinthe_federation의 리소스 제한 없는 할당 취약점으로 인해, 인증되지 않은 원격 공격자가 조작된 _entities 표현 키를 사용하여 Erlang VM을 중단시킬 수 있습니다. 공격자가 수만 개의 고유한 키를 포함한 요청을 보내면 BEAM 아톰 테이블이 가득 차게 되어 노드가 중단됩니다. 이 취약점은 가용성에만 영향을 미치며, 복구를 위해서는 애플리케이션을 재시작해야 합니다.
💡 쉬운 설명
공격자가 특수한 데이터를 반복해서 보내 서버의 메모리 공간 중 하나인 '아톰 테이블'을 가득 채워 서버를 멈추게 만드는 공격입니다. 서버가 먹통이 되기 때문에 서비스를 정상적으로 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Allocation of Resources Without Limits or Throttling vulnerability in DivvyPayHQ absinthe_federation allows an unauthenticated remote attacker to abort the Erlang VM via crafted _entities representation keys.
Every key of every object in the representations argument of the federation-mandated _entities field is converted with String.to_atom/1 by convert_key/2 in lib/absinthe/federation/schema/entities_field.ex. representations is typed as the open-ended _Any scalar, so its keys bypass schema coercion and the attacker names them freely. Atoms are never garbage collected and the BEAM atom table is hard-capped (about 1,048,576 entries by default), so one request carrying tens of thousands of unique keys creates that many permanent atoms and a handful of such requests exhausts the table and aborts the node. The impact is confined to availability: no data is read or altered, and recovery requires restarting the application.
This issue affects absinthe_federation: from 0.1.0 before 0.9.3.
📍 영향받는 시스템
absinthe_federation: 0.1.0 미만 0.9.3 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 _entities 표현 키를 포함한 요청을 전송
🛡️ 대응 방법
absinthe_federation 라이브러리를 0.9.3 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에 absinthe_federation이 포함되어 있는지 확인하고, 프로젝트의 mix.lock 파일을 통해 설치된 버전을 확인하여 0.9.3 미만인지 체크합니다.
mix exec 'Application.get_all_applications() |> Enum.filter(|&String.contains?(&1, "absinthe_federation"))'