PT-2026-55270
CVE-2026-54891
·
تاريخ النشر
2026-07-02
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Erlang/OTP من 17.0 إلى 29.0.2
إصدارات Erlang/OTP 28.x السابقة للإصدار 28.5.0.3
إصدارات Erlang/OTP 27.x السابقة للإصدار 27.3.4.14
الوصف
يؤدي التطبيق غير السليم لسلامة الرسائل أثناء الإرسال في الوحدة النمطية
tls gen connection إلى تمكين مهاجم موجود على الشبكة من إدخال نص عادي غير مصدق عليه، والذي يعامله تطبيق عميل TLS لاحقًا على أنه بيانات خادم مصدق عليها. تفشل الدالة handle protocol record() في رفض سجلات APPLICATION DATA التي تصل في حالات ما قبل المصافحة عندما تعمل نقطة النهاية كعميل. يمكن للمهاجم إرسال سجلات APPLICATION DATA بنص عادي أثناء عملية المصافحة، حيث يتم تخزينها مؤقتًا في المخزن المؤقت وتسليمها إلى التطبيق كبيانات مصادق عليها بعد المصافحة بمجرد اكتمال عملية المصافحة. ويؤدي ذلك إلى الحقن الأعمى لبايتات غير مصادق عليها. وتكون نافذة الحقن أوسع في إصدارات TLS السابقة لـ TLS 1.3 مقارنةً بـ TLS 1.3.التوصيات
تحديث Erlang/OTP إلى الإصدار 29.0.3 أو أحدث.
تحديث Erlang/OTP إلى الإصدار 28.5.0.3 أو أحدث.
تحديث Erlang/OTP إلى الإصدار 27.3.4.14 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾