John Högberg

Inefficient algorithmic complexity in the asn1 OBJECT IDENTIFIER decoder allows a remote unauthenticated attacker to cause a denial of service by sending a crafted OID during the TLS handshake. The issue occurs because the decoder accumulates a base-128 subidentifier into an unbounded integer, resulting in quadratic total work relative to the size of a single subidentifier. This behavior is present in the `asn1rtt ber:dec subidentifiers/3` function within `lib/asn1/src/asn1rtt ber.erl`, the `asn1rtt per common:dec subidentifiers/3` function in `lib/asn1/src/asn1rtt per common.erl`, and the `asn1rtt jer:json2oid/1` function in `lib/asn1/src/asn1rtt jer.erl`. The vulnerable decoder is used in every ASN.1 module containing an OBJECT IDENTIFIER, including `OTP-PUB-KEY` during X.509 certificate parsing via `public key:pkix decode cert/2`. Since this process occurs before signature or trust chain verification, any Erlang service parsing peer TLS certificates, such as TLS clients or mutual-TLS servers, is exposed.

Improper validation of input quantity in the stdlib allows a remote attacker to degrade availability by providing a URI with a port component consisting of an excessively long sequence of digits. The function `uri string:get port/1` passes the port substring to `binary to integer/1` without a length bound. Consequently, a syntactically valid port of up to approximately 1.26 million digits can be converted successfully, consuming hundreds of milliseconds of arbitrary-precision arithmetic in the calling process. This conversion is triggered via every authority-parsing path in `uri string:parse/1`, including host, registered-name, and IPv4 and IPv6 forms. Any application using `uri string:parse/1` to parse attacker-supplied URIs is exposed.

يمكن لمهاجم عن بُعد غير مصدق هويته إنهاء عمل برنامج Erlang Port Mapper Daemon (epmd) بشكل دائم من خلال استنفاد فتحات الاتصال. تقوم الدالة `do accept()` الموجودة في `erts/epmd/src/epmd srv.c` باستدعاء الدالة `epmd cleanup exit()` بشكل غير صحيح عندما تُرجع الدالة `accept(2)` القيمة EMFILE (تم الوصول إلى الحد الأقصى لموصِّف الملف لكل عملية) أو ENFILE (تم الوصول إلى الحد الأقصى لموصِّف الملف على مستوى النظام)، حيث تعامل هذه الحالات على أنها حالات فادحة بدلاً من حالات قابلة للاسترداد. يمكن للمهاجم استغلال هذه الثغرة عن طريق الحفاظ على العديد من اتصالات TCP وإرسال بايت واحد بشكل دوري لمنع انتهاء مهلة الخمول حتى يتم الوصول إلى الحد الأقصى لوصف الملفات، مما يؤدي إلى إنهاء عمل الخدمة. ونظرًا لعدم وجود حد أقصى للاتصالات لكل عنوان IP مصدر في epmd، فإن هذا الأمر ممكن من مصدر واحد. في أنظمة Debian و Ubuntu، يزداد التأثير لأن الحدود المرنة المنخفضة لموصِّفات الملفات وحدود معدل بدء التشغيل في systemd يمكن أن تؤدي إلى فشل دائم لـ `epmd.service` و `epmd.socket`، مما يتطلب تدخلاً يدويًّا.

تسمح مشكلة تتعلق باجتياز المسار النسبي في وحدة zip التابعة لـ stdlib بكتابة الملفات خارج دليل الاستخراج المقصود عند معالجة أرشيف zip مُعد خصيصًا. تستخدم الدالتان `zip:unzip/1,2` و`zip:extract/1,2` الدالة `zip:check dir level/2` للتحقق من صحة مسارات الدخول عن طريق تتبع عمق الدليل باستخدام عداد صحيح. ونظرًا لأن عملية التحقق ترفض فقط المسارات التي تكون فيها القيمة النهائية للعداد سالبة، فإن مسارًا مثل `../x/y` يمكن أن يتسبب في أن يصبح العداد سالبًا أثناء عملية التجاوز ثم يعود إلى الصفر، مما يؤدي إلى تجاوز الفحص والتوجيه إلى موقع خارج دليل الاستخراج عبر `add cwd`. توجد هذه المشكلة في الملف `lib/stdlib/src/zip.erl`.

يفشل تطبيق ssl في اكتشاف الدورات عند إعادة بناء سلسلة شهادات نظيرة غير مكتملة أثناء عملية المصافحة (handshake) لـ TLS أو DTLS. وعلى وجه التحديد، تقوم الدالة `handle incomplete chain/5` بتمرير السلسلة إلى `build certificate chain/5`، التي تستخدم بدورها `do certificate chain/7` لتتبع علاقات الجهات المصدرة دون حد للعمق أو اكتشاف للدورات. إذا قدم أحد الأقران شهادتين متبادلتي التوقيع بشكل غير مرتب، فإن النظام يدخل في تكرار لا نهائي، مما يتسبب في نمو مكدس الاستدعاءات ومجمع السلسلة بلا حدود. يمكن لمهاجم بعيد غير مصدق عليه استغلال هذه الثغرة عن طريق إرسال سلسلة شهادات مصممة خصيصًا في رسالة مصافحة لاستنفاد الذاكرة وإحداث تعطل في عقدة BEAM. يؤثر هذا على كل من الخوادم والعملاء ولا يتطلب سوى اتصال TCP ومصافحة جزئية.

يوجد انخفاض في قيمة عدد صحيح في وحدة فك الترميز External Term Format (ETF) داخل معالج العلامة `BIT BINARY EXT` (77). عندما يقبل وحدة فك الترميز ترميزًا يتم فيه تعيين كل من حقول الطول والبتات الختامية إلى الصفر، يؤدي حساب حجم سلسلة البتات إلى انخفاض أقل من الحد الأدنى لعدد صحيح غير موقّع. وينتج عن ذلك تمرير قيمة كبيرة للغاية (تقريبًا 2^64) كحجم لتخصيص الذاكرة، مما يتسبب في قيام أداة التخصيص بإلغاء العقدة بأكملها. لا يمكن اعتراض هذا الإلغاء على مستوى الآلة الافتراضية (VM) بواسطة أشجار الإشراف أو كتل try/catch أو الخيار `[safe]` في `binary to term/2`. وتكون التطبيقات التي تقوم بفك تشفير ETF من مصادر غير موثوقة باستخدام `binary to term/1,2` أو `enif binary to term()` معرضة للخطر. كما يستخدم بروتوكول توزيع Erlang مسار الكود هذا، على الرغم من أنه مخصص للشبكات الموثوقة.