CVE-2026-32144

إصدارات Erlang OTP من 27.0 إلى 28.4.2 و27.3.4.10

إصدارات public key من 1.16 إلى 1.20.3 و1.17.1.2

إصدارات ssl من 11.2 إلى 11.5.4 و11.2.12.7

توجد مشكلة في public key (وحدة pubkey ocsp) في Erlang OTP تتعلق بالتحقق غير الصحيح من صحة الشهادات. وعلى وجه التحديد، لا تتحقق عملية التحقق من استجابة OCSP من التوقيع التشفيري لشهادات المستجيبين المعينين من قبل هيئة إصدار الشهادات (CA)، بل تعتمد فقط على مطابقة اسم المُصدر واستخدام المفتاح الموسع OCSPSigning. وهذا يسمح للمهاجم بتزوير استجابات OCSP، مما قد يؤدي إلى تصنيف الشهادات الملغاة على أنها صالحة. ويؤثر هذا على عملاء SSL/TLS الذين يستخدمون تقنية OCSP stapling والتطبيقات التي تستخدم واجهة برمجة التطبيقات (API) public key:pkix ocsp validate/5 مباشرةً. يوجد الكود المعرض للخطر في الملفات lib/public key/src/pubkey ocsp.erl وفي روتينات البرنامج pubkey ocsp:is authorized responder/3.

لمستخدمي SSL:

لا تقم بتمكين إعداد التحقق من صحة OCSP (الإعداد الافتراضي الحالي هو {stapling, no staple})

استخدم التحقق من الإلغاء القائم على CRL عن طريق تعيين خيار SSL {crl check, true} بدلاً من ذلك

بالنسبة للتطبيقات التي تستخدم public key:pkix ocsp validate/5 مباشرةً:

قم بتمرير الخيار {is trusted responder fun, Fun} مع دالة تتحقق من صحة شهادات المستجيب الموثوق به

قم بتقييد وصول مستجيب OCSP إلى النقاط الطرفية الموثوق بها عبر ضوابط الشبكة