CVE-2026-42791

إصدارات Erlang OTP من 27.0 حتى 27.3.4.11

إصدارات Erlang OTP السابقة للإصدار 28.5.0.1

إصدارات Erlang OTP السابقة للإصدار 29.0.1

إصدارات public key من 1.16 إلى 1.17.1.2

إصدارات public key السابقة للإصدار 1.20.3.1

إصدارات public key السابقة للإصدار 1.21.1

يؤدي التحقق غير السليم من صحة الشهادات في وحدة pubkey ocsp التابعة لـ Erlang OTP public key إلى قبول استجابات مزورة لبروتوكول حالة الشهادات عبر الإنترنت (OCSP) موقعة بشهادة مستجيب منتهية الصلاحية على أنها صالحة. تفشل الدالتان verify response/5 وis authorized responder/3 في التحقق من فترة الصلاحية (notBefore/notAfter) لشهادة مستجيب OCSP. يمكن للمهاجم الذي يمتلك المفتاح الخاص لشهادة مستجيب OCSP معينة من قبل هيئة إصدار الشهادات (CA) منتهية الصلاحية تزوير استجابات يقبلها النظام. يؤثر هذا على عملاء TLS الذين يستخدمون ربط OCSP عبر تطبيق ssl، مما قد يسمح لخادم تم اختراقه بتقديم شهادة TLS ملغاة على أنها صالحة. كما يؤثر أيضًا على التطبيقات التي تستدعي وظيفة pkix ocsp validate/5 مباشرةً، مما قد يؤدي إلى تجاوز المصادقة أثناء التحقق من صحة شهادة العميل من جانب الخادم.

قم بتحديث Erlang OTP إلى الإصدار 27.3.4.12 أو 28.5.0.1 أو 29.0.1.

قم بتحديث public key إلى الإصدار 1.17.1.3 أو 1.20.3.1 أو 1.21.1.

بالنسبة لعملاء TLS الذين يستخدمون تطبيق ssl، قم بتعطيل OCSP stapling عن طريق تعيين {stapling, no staple} في خيارات العميل أو قم بالتبديل إلى التحقق من الإلغاء القائم على CRL باستخدام {crl check, true}.

بالنسبة لـ