CVE-2026-94200

اسم البرنامج المصاب والإصدارات المتأثرة Erlang OTP الإصدارات من 23.3 إلى 27.3.4.18 Erlang OTP الإصدارات من 28.0 إلى 28.5.0.7 Erlang OTP الإصدارات من 29.0 إلى 29.1.1 ssl الإصدارات من 10.3 إلى 11.2.12.13 ssl الإصدارات من 11.6.0 إلى 11.6.0.6 ssl الإصدارات من 11.7.0 إلى 11.7.7

الوصف يسمح التحقق غير السليم من اتساق المدخلات في وحدات tls handshake 1 3 و ssl handshake و tls client ticket store لخادم TLS 1.3 خبيث بالتسبب في حالة رفض الخدمة لتطبيق ssl على عقدة العميل. يقوم عميل TLS 1.3 بفك تشفير ملحقات رسالة NewSessionTicket كما لو كانت قادمة من EncryptedExtensions وبذلك يقبل ملحق early data بطول 0. عند تفعيل {session tickets, auto}، يقوم العميل بتخزين التذكرة في tls client ticket store العالمي للعقدة. وفي عملية الاستئناف التلقائي التالية، تؤدي الدالة tls handshake 1 3:get max early data/1 إلى تعطل المخزن بسبب case clause. وبما أن المشرف يستخدم استراتيجية rest for one فإن الانهيارات المتكررة يمكن أن تتجاوز كثافة إعادة التشغيل وتؤدي إلى إيقاف تطبيق ssl لجميع الاتصالات على العقدة.

التوصيات تحديث Erlang OTP إلى الإصدار 27.3.4.19 أو 28.5.0.8 أو 29.1.2. تحديث ssl إلى الإصدار 11.2.12.14 أو 11.6.0.7 أو 11.7.8. كإجراء مؤقت، لا تقم بضبط {session tickets, auto} على عملاء TLS 1.3؛ بدلاً من ذلك، استخدم معالجة التذاكر manual أو احتفظ بالقيمة الافتراضية disabled.