CVE-2026-42790

إصدارات Erlang OTP من 19.3 حتى 26.2.5.20

إصدارات Erlang OTP من 26.2.5.21 حتى 27.3.4.11

إصدارات Erlang OTP من 27.3.4.12 حتى 28.5.0.0

إصدارات Erlang OTP من 28.5.0.1 إلى 29.0.0

إصدارات public key من 1.4 إلى 1.15.1.6

إصدارات public key من 1.15.1.7 إلى 1.17.1.2

إصدارات public key من 1.17.1.3 إلى 1.20.3.0

إصدارات public key من 1.20.3.1 إلى 1.21.0

يؤدي التحقق غير السليم من صحة الشهادات في وحدتي pubkey cert وpublic key إلى تجاوز قيود اسم DNS (nameConstraints) أثناء التحقق من اسم مضيف TLS. يحدث هذا لأن pubkey cert:validate names/6 تتحقق فقط من إدخالات DNS الخاصة بالاسم البديل للموضوع (SAN) مقابل قيود الاسم (nameConstraints)، مما يعني أن الشهادات التي لا تحتوي على SAN تستوفي بسهولة قيود DNS المسموح بها. وفي الوقت نفسه، تلجأ public key:pkix verify hostname/3 إلى الاسم الشائع (CommonName) للموضوع في حالة عدم وجود SAN، وتقوم بمطابقته مع اسم المضيف المرجعي. يسمح هذا المزيج لسلطة التصديق التابعة (CA) ذات قيود اسم DNS المقيدة بإصدار شهادة نهائية يقبلها عميل OTP TLS لاسم مضيف خارج النطاق. يمكن الوصول إلى هذا التجاوز عبر ssl:connect باستخدام verify peer، وسلطة تصديق موثوقة، وSNI، ومطابق اسم مضيف https الصارم.

قم بتحديث Erlang OTP إلى الإصدار 26.2.5.21 أو 27.3.4.12 أو 28.5.0.1 أو 29.0.1 حسب فرع الإصدار الحالي.

قم بتحديث public key إلى الإصدار 1.15.1.7 أو 1.17.1.3 أو 1.20.3.1 أو 1.21.1 حسب فرع الإصدار الحالي.

استخدم `verify fun