CVE-2026-42789

إصدارات Erlang OTP من 17.0 حتى 26.2.5.20

إصدارات Erlang OTP من 27.x حتى 27.3.4.12

إصدارات Erlang OTP من 28.x حتى 28.5.0.1

إصدارات Erlang OTP 29.x قبل الإصدار 29.0.1

إصدارات public key من 0.22 إلى 1.15.1.6

إصدارات public key 1.17.x قبل الإصدار 1.17.1.3

إصدارات public key 1.20.x قبل الإصدار 1.20.3.1

إصدارات public key 1.21.x قبل الإصدار 1.21.1

يؤدي عدم اتباع سلسلة الثقة الخاصة بالشهادة بشكل صحيح في الوحدة النمطية pubkey cert إلى السماح بقبول شهادة غير صادرة عن هيئة إصدار شهادات (CA) كجهة إصدار وسيطة، مما يتيح تزوير سلسلة الشهادات. تحتوي الدالة pubkey cert:validate extensions/7 على ثغرات تسمح باستخدام شهادة تم تعيين basicConstraints فيها إلى cA:false ولا تحتوي على امتداد keyUsage كجهة إصدار وسيطة في سلسلة يتم تمريرها إلى public key:pkix path validation/3. ويحدث ذلك لأن بند cA:false لا يرفض الشهادة عندما تكون في موضع المُصدر، ويتم تجاوز فحص keyUsage في حالة غياب الامتداد تمامًا. ونتيجة لذلك، يمكن للمهاجم الذي يمتلك شهادة كيان نهائي صادرة عن جهة إصدار شهادات موثوقة (CA) التوقيع على شهادات طرفية مزورة لهويات عشوائية. يؤثر هذا على جميع نقاط النهاية TLS أو mTLS المبنية على تطبيق OTP ssl باستخدام أداة التحقق الافتراضية، بما في ذلك التحقق من هوية الخادم من جانب العميل والتحقق من شهادة العميل على خادم mTLS.

قم بتحديث Erlang OTP إلى الإصدار 26.2.5.21 أو 27.3.4.12 أو 28.5.0.1 أو 29.0.1 حسب الإصدار الحالي