製品・ソフトウェアに関する情報
Vulnerability Search
Elixir PlugのPlug.cowboyにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性
Title Elixir PlugのPlug.cowboyにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性
Summary

elixir-plugのplug_cowboyにおいて、リソースの割り当てに関する制限やスロットリングがない脆弱性が存在します。この脆弱性により、認証されていないリモートからのサービス拒否攻撃がアトムテーブルの枯渇を通じて可能になります。lib/plug/cowboy/conn.exのPlug.Cowboy.Conn.conn/1は、:cowboy_req.scheme/1から返される値に対してString.to_atom/1を呼び出します。HTTP/2接続の場合、cowlibはクライアントから送信された:scheme疑似ヘッダー値を検証せずにそのまま渡します。各ユニークな値はBEAMのアトムテーブル内に永久的に新しいエントリを割り当てます。アトムはガベージコレクションされず、アトムテーブルには固定の上限（デフォルト1,048,576）があります。したがって、認証されていない攻撃者がHTTP/2リクエストでユニークな:scheme値を送り続けることでテーブルを枯渇させ、Erlang VMがsystem_limitのため異常終了し、ノード全体が停止する可能性があります。この脆弱性は、cowboyがクライアントからのヘッダーではなくリスナーの種類からスキームを派生させるHTTP/1.1には影響しません。この問題はplug_cowboyの2.0.0から2.8.1未満のバージョンに影響を及ぼします。

Possible impacts 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 27, 2026, midnight
Registration Date May 28, 2026, 2:33 p.m.
Last Update May 28, 2026, 2:33 p.m.
CVSS3.0 : 重要
Score 7.5
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Affected System
Elixir Plug
Plug.cowboy 2.0.0 以上 2.8.1 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年05月28日]
  掲載		 May 28, 2026, 2:33 p.m.
NVD Vulnerability Information
CVE-2026-32688
Summary

Allocation of Resources Without Limits or Throttling vulnerability in elixir-plug plug_cowboy allows unauthenticated remote denial of service via atom table exhaustion.

Plug.Cowboy.Conn.conn/1 in lib/plug/cowboy/conn.ex calls String.to_atom/1 on the value returned by :cowboy_req.scheme/1. For HTTP/2 connections, cowlib passes the client-supplied :scheme pseudo-header value through verbatim without validation. Each unique value permanently allocates a new entry in the BEAM atom table. Since atoms are never garbage-collected and the atom table has a fixed limit (default 1,048,576), an unauthenticated attacker can exhaust the table by sending HTTP/2 requests with unique :scheme values, causing the Erlang VM to abort with system_limit and taking down the entire node.

This vulnerability does not affect HTTP/1.1, where cowboy derives the scheme from the listener type rather than from a client-supplied header.

This issue affects plug_cowboy: from 2.0.0 before 2.8.1.

Publication Date April 27, 2026, 11:16 p.m.
Registration Date April 28, 2026, 4:08 a.m.
Last Update April 28, 2026, 3:57 a.m.
Related information, measures and tools
Common Vulnerabilities List