Elixir: unkontrollierter Ressourcenverbrauch (CVE-2026-49762)

Was ist betroffen, was ist zu tun

Eine Schwachstelle durch unkontrollierte Ressourcenverbrauch in der Version-Modul des Elixir Standardbibliothek ermöglicht es einem Angreifer, der eine Versionszeichenfolge kontrolliert, einen Denial-of-Service-Angriff durch CPU- und Speicherauslastung zu verursachen. Der Versionsparser konvertiert numerische Versionskomponenten (Major, Minor, Patch und numerische Pre-Release/Build-Identifikatoren) in Ganzzahlen ohne Begrenzung ihrer Länge.

Aktualisieren Sie Elixir auf Version 1.20.1.

Betroffen

• Elixir lt 0.9.3..1.20.1

Behoben in

• Elixir 1.20.1

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Eine Schwachstelle durch unkontrollierte Ressourcenverbrauch in der Version-Modul des Elixir Standardbibliothek ermöglicht es einem Angreifer, der eine Versionszeichenfolge kontrolliert, einen Denial-of-Service-Angriff durch CPU- und Speicherauslastung zu verursachen. Der Versionsparser konvertiert numerische Versionskomponenten (Major, Minor, Patch und numerische Pre-Release/Build-Identifikatoren) in Ganzzahlen ohne Begrenzung ihrer Länge. Eine einzelne große alle-Ziffern-Komponente zwingt daher eine super-lineare, nicht abbrechende Basis-10-zu-arbiträr-genau-Ganzzahl-Konvertierung (String.to_integer/1, d.h. :erlang.binary_to_integer/1), die einen BEAM-Scheduler blockiert, und eine größere Komponente löst einen unerfassten SystemLimitError aus, der den aufrufenden Prozess zum Absturz bringt. Eine einzelne moderat große Zeichenfolge (ungefähr ein Megabyte) reicht dafür aus; keine Authentifizierung ist erforderlich. Dies ist über die öffentlichen Einstiegspunkte Version.parse/1, Version.parse!/1, Version.match?/3, Version.compare/2 und Version.parse_requirement/1 erreichbar, welche Anwendungen routinemäßig auf nicht vertrauenswürdigen Eingaben wie HTTP-Parametern, Abhängigkeitsmanifest-Feldern und Paketmetadaten aufrufen. Diese Schwachstelle ist mit den Programmdateien lib/version.ex und den Programmroutinen 'Elixir.Version.Parser':parse_digits/2 verbunden. Dieses Problem betrifft Elixir: von Version 1.5.0 bis einschließlich 1.20.1.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: OSV (Open Source Vulnerabilities), cvelistv5, Microsoft Security Update Guide, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Elixir-lang Elixir

Weakness-Klassen (CWE)

• CWE-400Uncontrolled Resource Consumption

  Class

  The product does not properly control the allocation and maintenance of a limited resource.

  Eintrag bei MITRE CWE-400

Quellen & Referenzen

• github.comGitHub Advisoryadvisory, related, Herstellerhinweis
• cna.erlef.orgEEF CNA record for CVE-2026-49762web, related
• github.comFix commit c64417d in elixir-lang/elixirfix, Patch
• OSV (Open Source Vulnerabilities)OSV record EEF-CVE-2026-49762related
• github.comIntroducing commit 0576917 in elixir-lang/elixirrelated
• github.comFix commit 64e6707 in elixir-lang/elixirPatch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 06.10.2026Eintrag geändertEEF

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://cna.erlef.org/cves/CVE-2026-49762.html
   • https://github.com/elixir-lang/elixir/commit/057691722eb8cfe315f5606358954a2b173ff7a3
   • https://github.com/elixir-lang/elixir/commit/64e6707233464c3e55a9ca6b44019aed25b0390a
   • https://github.com/elixir-lang/elixir/commit/c64417d72fd5c7d09e963ca3ac5fa2b140978d9e

   und 2 weitere Referenzen

   12 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	geändert	Uncontrolled Resource Consumption vulnerability in the Elixir standard library's Version module allows an attacker who controls a version string to cause a denial of service through CPU and memory exhaustion. The version parser converts numeric version components (major, minor, patch and numeric pre-release/build identifiers) to integers without bounding their length. A single large all-digit component therefore forces a super-linear, non-yielding base-10 to arbitrary-precision integer conversion (String.to_integer/1, i.e. :erlang.binary_to_integer/1) that pins a BEAM scheduler, and a larger component raises an uncaught SystemLimitError that crashes the calling process. A single moderately sized string (around one megabyte) is enough; no authentication is required. This is reachable from the public entry points Version.parse/1, Version.parse!/1, Version.match?/3, Version.compare/2, and Version.parse_requirement/1, which applications routinely call on untrusted input such as HTTP parameters, dependency-manifest fields, and package metadata. This vulnerability is associated with program files lib/version.ex and program routines 'Elixir.Version.Parser':parse_digits/2. This issue affects Elixir: from 1.5.0 before 1.20.1.	Uncontrolled Resource Consumption vulnerability in the Elixir standard library's Version module allows an attacker who controls a version string to cause a denial of service through CPU and memory exhaustion. The version parser converts numeric version components (major, minor, patch and numeric pre-release/build identifiers) to integers without bounding their length. A single large all-digit component therefore forces a super-linear, non-yielding base-10 to arbitrary-precision integer conversion (String.to_integer/1, i.e. :erlang.binary_to_integer/1) that pins a BEAM scheduler, and a larger component raises an uncaught SystemLimitError that crashes the calling process. A single moderately sized string (around one megabyte) is enough; no authentication is required. This is reachable from the public entry points Version.parse/1, Version.parse!/1, Version.match?/3, Version.compare/2, and Version.parse_requirement/1, which applications routinely call on untrusted input such as HTTP parameters, dependency-manifest fields, and package metadata. This vulnerability is associated with program files lib/version.ex and program routines 'Elixir.Version.Parser':parse_digits/2. This issue affects elixir: from 0.9.3 before 1.20.1.
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/49xxx/CVE-2026-49762.json">CVE-2026-49762</a>
   Referenz	ergänzt	—	https://cna.erlef.org/cves/CVE-2026-49762.html
   Referenz	ergänzt	—	https://github.com/elixir-lang/elixir/commit/057691722eb8cfe315f5606358954a2b173ff7a3
   Referenz	ergänzt	—	https://github.com/elixir-lang/elixir/commit/64e6707233464c3e55a9ca6b44019aed25b0390a
   Referenz	ergänzt	—	https://github.com/elixir-lang/elixir/commit/c64417d72fd5c7d09e963ca3ac5fa2b140978d9e
   Referenz	ergänzt	—	https://github.com/elixir-lang/elixir/security/advisories/GHSA-w2h8-8x3g-278p
   Referenz	ergänzt	—	https://osv.dev/vulnerability/EEF-CVE-2026-49762
   Referenz	entfernt	https://cna.erlef.org/cves/CVE-2026-49762.html	—
   Referenz	entfernt	https://github.com/elixir-lang/elixir/commit/c64417d72fd5c7d09e963ca3ac5fa2b140978d9e	—
   Referenz	entfernt	https://github.com/elixir-lang/elixir/security/advisories/GHSA-w2h8-8x3g-278p	—
   Referenz	entfernt	https://osv.dev/vulnerability/EEF-CVE-2026-49762	—

   Kennung der Quelle: 6b3ad84c-e1a6-4bf7-a703-f496b71e49db

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.