Eric Meadows-Jönsson

**Nome do Software Vulnerável e Versões Afetadas** Elixir versões 1.5.0 até 1.20.0 **Description** O Consumo Não Controlado de Recursos no módulo Version da biblioteca padrão permite que um invasor cause a negação de serviço através da exaustão de CPU e memória. O analisador de versão converte componentes numéricos em inteiros sem limitar seu comprimento, forçando uma conversão de base-10 para inteiro de precisão arbitrária superlinear e não cedente através de `String.to integer/1` (também conhecido como `:erlang.binary to integer/1`). Este processo trava um agendador BEAM, e componentes maiores podem disparar um `SystemLimitError` não capturado que derruba o processo solicitante. Uma string de aproximadamente um megabyte é suficiente para disparar este problema, e nenhuma autenticação é necessária. O problema é acessível através da rotina `parse digits/2` em `lib/version.ex` e pontos de entrada públicos, incluindo `Version.parse/1`, `Version.parse!/1`, `Version.match?/3`, `Version.compare/2` e `Version.parse requirement/1`. **Recommendations** Atualizar para a versão 1.20.1.

**Nome do Software Vulnerável e Versões Afetadas** mint versões 0.1.0 até 1.8.x **Description** A Neutralização Imprópria de Sequências CRLF, também conhecida como CRLF Injection, permite a Divisão de Requisições HTTP (HTTP Request Splitting) e o Contrabando de Requisições HTTP (HTTP Request Smuggling). Na função `encode request line/2` dentro de `lib/mint/http1/request.ex`, os argumentos `method` e `target` são inseridos diretamente na linha de requisição HTTP/1 sem validação de caracteres. Aplicações que encaminham entradas controladas por atacantes como o método HTTP ou alvo para a função `Mint.HTTP.request/5` estão expostas à injeção de CRLF na linha de requisição. Isso permite que um atacante encerre a linha de requisição prematuramente, injete cabeçalhos arbitrários e realize o contrabando de uma requisição HTTP pipelined separada na mesma conexão TCP. Embora a função `validate request target/2` introduzida na versão 1.7.0 rejeite caracteres CRLF e de controle no `target` por padrão, o campo `method` permanece sem validação em todas as versões. **Recommendations** Atualize para a versão 1.9.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** mint versões 0.2.0 até 1.8.x **Description** Existe um problema onde servidores HTTP/2 controlados por atacantes podem esgotar a memória de um cliente através de inundação de PUSH PROMISE. No arquivo lib/mint/http2.ex, a função `decode push promise headers and add response/5` insere uma entrada `:reserved remote` em `conn.streams` para cada ID de stream prometido. A função `assert valid promised stream id/2` apenas verifica se o ID prometido é par e se já não está presente, falhando em consultar `client settings.max concurrent streams` no momento da promessa. Como o limite de concorrência é verificado apenas quando os HEADERS de resposta chegam, um servidor que envia quadros PUSH PROMISE, mas retém os HEADERS correspondentes, pode fixar entradas em `conn.streams` sem um limite superior, levando ao esgotamento da memória. Isso é possível porque o push de servidor HTTP/2 é habilitado por padrão via `client settings.enable push`. **Recommendations** Atualize para a versão 1.9.0 ou posterior. Como alternativa temporária, desabilite o push de servidor HTTP/2 em conexões com servidores não confiáveis passando `client settings: [enable push: false]` para a função `connect/4`.

**Nome do Software Vulnerável e Versões Afetadas** mint versões 0.1.0 até 1.8.x **Description** Uma interpretação inconsistente de requisições HTTP, conhecida como HTTP Request/Response Smuggling, permite que servidores HTTP/1 controlados por atacantes dessincronizem o enquadramento de respostas em conexões compartilhadas. O problema ocorre porque o analisador de Content-Length do HTTP/1, especificamente a função `content length header/1` em `lib/mint/http1/parse.ex`, utiliza `Integer.parse/1` para processar valores de cabeçalho. Isso permite prefixos opcionais de sinal de mais (+) ou menos (-); embora valores negativos sejam rejeitados, entradas como `+0` ou `+123` são aceitas como comprimentos válidos, contrariando a RFC 7230, que permite apenas dígitos. Um proxy frontal ou balanceador de carga que aplique a gramática rigorosamente pode rejeitar ou reenquadrar tais cabeçalhos, enquanto o Mint os trata como válidos. Quando os sockets são reutilizados via keep-alive, pipelining ou conexões agrupadas compartilhadas entre requisitantes, essa divergência permite que bytes de uma resposta sejam atribuídos à seguinte, potencialmente vazando dados para o fluxo de resposta de outro consumidor se a conexão for compartilhada entre limites de confiança. **Recommendations** Atualize para a versão 1.9.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** elixir-mint versões 0.1.0 até 1.8.x **Description** Existe um problema onde servidores HTTP/2 controlados por atacantes podem causar exaustão de memória em um cliente. Isso ocorre porque o caminho de recebimento HTTP/2 não limita o acumulador quando um quadro HEADERS é observado sem a flag END HEADERS. Quadros CONTINUATION subsequentes são anexados a `conn.headers being processed` sem limites de tamanho por fluxo ou limites de contagem de quadros. Além disso, `max header list size` é aplicado apenas a solicitações de saída e não a blocos de cabeçalho de entrada. Um servidor malicioso pode transmitir uma sequência infinita de quadros CONTINUATION, elevando o iolist do cliente a um tamanho arbitrário, o que leva à exaustão de memória e à interrupção do processo BEAM. **Recommendations** Atualize para a versão 1.9.0 ou posterior. Restrinja as conexões com servidores não confiáveis ao HTTP/1, passando `protocols: [:http1]` para a função `Mint.HTTP.connect/4` para evitar completamente o caminho de recebimento HTTP/2 vulnerável.

**Nome do Software Vulnerável e Versões Afetadas** ericmj decimal versões 0.1.0 até 2.x **Descrição** O Consumo Não Controlado de Recursos permite a Negação de Serviço remota não autenticada. A biblioteca não limita o expoente na entrada analisada, o que significa que um decimal com um expoente excessivamente grande pode ser armazenado sem erro. Chamadas subsequentes para funções como `Decimal.add/2`, `Decimal.sub/2`, `Decimal.div/2`, `Decimal.to integer/1`, `Decimal.round/3`, `Decimal.compare/3` com um limite, ou `Decimal.to string/2` usando os formatos :normal ou :xsd, alocam memória proporcional ao valor do expoente. Isso pode esgotar a memória disponível e travar a BEAM VM (a Máquina Virtual Erlang). Qualquer aplicação que aceite entrada decimal fornecida pelo usuário para aritmética, arredondamento, conversão de inteiros ou formatação de string está exposta, pois uma única requisição maliciosa pode causar a queda do sistema por falta de memória. **Recomendações** Atualize para a versão 3.0.0 ou posterior.