PT-2026-134179
CVE-2026-117666
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
deadtrickster ssl verify fun الإصدارات من 1.0.1 إلى 1.1.7
الوصف
يسمح التحقق غير السليم من الشهادات التي تعاني من عدم تطابق المضيف للمهاجم في المنتصف بانتحال صفة نظير TLS عبر شهادة تحمل علامة نجمية (wildcard) جزئية. تقوم الدالة
try match wildcard/4 في src/ssl verify hostname.erl بتثبيت النص قبل وبعد علامة النجمة فقط في المعرفات مثل f*.example.net ، مما يسمح للعلامة النجمية باستهلاك النقاط وقبول الشهادة لنطاقات غير مصرح بها مثل f.evil.example.net. وهذا يتعارض مع RFC 6125 التي تحصر العلامة النجمية في التسمية الموجودة في أقصى اليسار. بالإضافة إلى ذلك، يسمح المطابق لـ *.168.1.1 بمطابقة العنوان الرقمي 192.168.1.1. تؤثر هذه المشكلة على العملاء الذين يعطلون مؤشر اسم الخادم (SNI)، والخوادم التي تتحقق من أسماء مضيف شهادات العميل، والمستدعين المباشرين للدالة verify cert hostname/2.التوصيات
تحديث deadtrickster ssl verify fun إلى الإصدار 1.1.8.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾