PT-2026-64994
CVE-2026-59251
·
تاريخ النشر
2026-07-27
·
تاريخ التحديث
2026-09-28
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Erlang/OTP من 26.2 إلى 27.3.4.14
إصدارات Erlang/OTP من 28.0 إلى 28.5.0.3
إصدارات Erlang/OTP من 29.0 إلى 29.0.3
إصدارات public key من 1.15 إلى 1.17.1.4
إصدارات public key من 1.20 إلى 1.20.3.3
إصدارات public key من 1.21 إلى 1.21.3
الوصف
يسمح تخصيص الموارد دون حدود في عملية التحقق من مسار الشهادة في وحدة public key لمهاجم بعيد غير مصدق عليه بالتسبب في رفض الخدمة. من خلال إرسال سلسلة شهادات X.509 مصممة خصيصًا أثناء مصافحة TLS، يمكن للمهاجم أن يؤدي إلى نمو غير محدود لشجرة سياسة الشهادات أثناء معالجة سياسة RFC 5280 في الدالة
pkix path validation/3. يحدث هذا لأن الدالتين pubkey policy tree:add leaves/2 وpubkey policy tree:add leaf siblings/2 توسعان الشجرة لكل سياسة لكل شهادة، مما يؤدي إلى نمو أسي. وقد يؤدي ذلك إلى تثبيت مجدولات BEAM واستنفاد ذاكرة العقدة، مما ينتج عنه تعطل كامل للآلة الافتراضية. تؤثر هذه المشكلة على أي اتصال TLS وارد أو صادر يقوم بالتحقق من صحة سلسلة النظير، مثل عملاء SSL/TLS وخوادم TLS المتبادل.التوصيات
قم بتحديث Erlang/OTP إلى الإصدار 27.3.4.15 أو 28.5.0.4 أو 29.0.4.
قم بتحديث public key إلى الإصدار 1.17.1.5 أو 1.20.3.4 أو 1.21.4.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾