Dan Gudmundsson

**Nome do Software Vulnerável e Versões Afetadas** Erlang/OTP versões 21.0 até 27.3.4.16 Erlang/OTP versões 28.0 até 28.5.0.5 Erlang/OTP versões 29.0 até 29.0.5 stdlib versões 3.5 até 6.2.2.4 stdlib versões 7.0 até 7.3.0.1 stdlib versões 8.0 até 8.0.3 **Description** A validação inadequada da quantidade especificada na entrada no stdlib permite que um invasor remoto degrade a disponibilidade ao fornecer uma URI cujo componente de porta seja uma sequência muito longa de dígitos. A função `uri string:get port/1` passa a substring da porta para `binary to integer/1` sem limite de comprimento. Consequentemente, uma porta sintaticamente válida de até aproximadamente 1,26 milhão de dígitos pode ser convertida com sucesso, consumindo centenas de milissegundos de aritmética de precisão arbitrária no processo solicitante. Essa conversão é alcançada por todos os caminhos de análise de autoridade em `uri string:parse/1`, incluindo as formas de host, nome registrado, IPv4 e IPv6. Qualquer aplicação que utilize `uri string:parse/1` para analisar URIs fornecidas por invasores está exposta. **Recommendations** Atualize o Erlang/OTP para a versão 27.3.4.17 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.6 ou posterior. Atualize o Erlang/OTP para a versão 29.0.6 ou posterior. Atualize o stdlib para a versão 6.2.2.5 ou posterior. Atualize o stdlib para a versão 7.3.0.2 ou posterior. Atualize o stdlib para a versão 8.0.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Erlang/OTP versões 23.2 até 27.3.4.14 Erlang/OTP versão 28.5.0.3 Erlang/OTP versão 29.0.3 **Description** A aplicação ssl não detecta ciclos ao reconstruir uma cadeia de certificados de pares incompleta durante um handshake TLS ou DTLS. Especificamente, a função `handle incomplete chain/5` passa a cadeia para `build certificate chain/5`, que então utiliza `do certificate chain/7` para percorrer relações de emissor sem limite de profundidade ou detecção de ciclos. Se um par fornecer dois certificados assinados mutuamente de forma desordenada, o sistema entra em recursão indefinida, fazendo com que a pilha de chamadas e o acumulador de cadeia cresçam sem limites. Um invasor remoto não autenticado pode explorar isso enviando uma cadeia de certificados manipulada em uma mensagem de handshake para esgotar a memória e travar o nó BEAM. Isso afeta tanto servidores quanto clientes e requer apenas uma conexão TCP e um handshake parcial. **Recommendations** Atualize o Erlang/OTP para a versão 27.3.4.15 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.4 ou posterior. Atualize o Erlang/OTP para a versão 29.0.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Erlang/OTP versões 17.0 até 29.0.2 Erlang/OTP versões 28.x anteriores a 28.5.0.3 Erlang/OTP versões 27.x anteriores a 27.3.4.14 **Description** A aplicação inadequada da integridade da mensagem durante a transmissão no módulo `tls gen connection` permite que um invasor posicionado na rede injete texto simples não autenticado que a aplicação cliente TLS posteriormente trata como dados de servidor autenticados. A função `handle protocol record()` não rejeita registros APPLICATION DATA que chegam em estados de pré-handshake quando o endpoint atua como um cliente. Um invasor pode enviar registros APPLICATION DATA em texto simples durante o handshake, que são armazenados em buffer e entregues à aplicação como dados autenticados pós-handshake assim que o handshake for concluído. Isso resulta na injeção cega de bytes não autenticados. A janela de injeção é maior para versões do TLS anteriores ao TLS 1.3 do que para o TLS 1.3. **Recommendations** Atualize o Erlang/OTP para a versão 29.0.3 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.3 ou posterior. Atualize o Erlang/OTP para a versão 27.3.4.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Erlang/OTP versões 22.2 até 29.0.2 Erlang/OTP versão 28.5.0.3 Erlang/OTP versão 27.3.4.14 ssl versões 9.5 até 11.7.2 ssl versão 11.6.0.3 ssl versão 11.2.12.10 **Description** A aplicação ssl não valida se a lista de identidade PSK e a lista de binder transportadas em uma extensão de pré-chave compartilhada ClientHello TLS 1.3 possuem o mesmo comprimento. Na função `handle pre shared key/3`, um registro `OfferedPreSharedKeys` com comprimentos incompatíveis é encaminhado para `use/4`, o que causa a falha do processo do manipulador de tickets de sessão. Um invasor remoto não autenticado pode enviar um ClientHello manipulado para um servidor TLS 1.3 com tickets de sessão habilitados para interromper o processamento de tickets de sessão. Embora novos handshakes TLS 1.3 possam ser concluídos, eles falham quando o servidor tenta emitir um ticket de sessão, tornando o TLS 1.3 inutilizável no listener até que a aplicação seja reiniciada. Conexões TLS 1.2 não são afetadas. **Recommendations** Atualize o Erlang/OTP para a versão 29.0.3 ou posterior. Atualize o Erlang/OTP para uma versão posterior à 28.5.0.3. Atualize o Erlang/OTP para uma versão posterior à 27.3.4.14. Atualize o ssl para a versão 11.7.3 ou posterior. Atualize o ssl para uma versão posterior à 11.6.0.3. Atualize o ssl para uma versão posterior à 11.2.12.10. Desative os tickets de sessão em servidores TLS 1.3 definindo `session tickets` como disabled nas opções de ssl do servidor. Restrinja o servidor ao TLS 1.2 definindo `versions` como `['tlsv1.2']` nas opções de ssl do servidor.

**Nome do Software Vulnerável e Versões Afetadas** Erlang/OTP versões 25.3 até 29.0.2 Erlang/OTP versões 28.x anteriores a 28.5.0.3 Erlang/OTP versões 27.x anteriores a 27.3.4.14 ssl versões 10.9 até 11.7.2 ssl versões 11.6.x anteriores a 11.6.0.3 ssl versões 11.2.x anteriores a 11.2.12.10 **Description** Uma condição de corrida de Time-of-check Time-of-use (TOCTOU) existe no módulo `dtls packet demux` dentro do componente ssl. Isso ocorre quando um listener de servidor DTLS usa um processo `gen server` `dtls packet demux` compartilhado para rotear datagramas UDP. Um invasor remoto não autenticado pode causar uma falha ao enviar rapidamente múltiplas mensagens ClientHello do mesmo endereço e porta de origem. Isso cria uma condição de corrida no armazenamento de chave-valor interno `gb trees`, resultando em um erro `{key exists, {old, Client}}` que encerra o processo demux. Como esse processo é compartilhado, todas as sessões DTLS ativas no listener são encerradas, levando a uma negação de serviço persistente. O problema está localizado no arquivo `lib/ssl/src/dtls packet demux.erl` e afeta apenas implantações que utilizam `ssl:listen/2` com transporte baseado em UDP. **Recommendations** Atualize o Erlang/OTP para a versão 29.0.3 ou posterior. Atualize o Erlang/OTP para a versão 28.5.0.3 ou posterior. Atualize o Erlang/OTP para a versão 27.3.4.14 ou posterior. Atualize o ssl para a versão 11.7.3 ou posterior. Atualize o ssl para a versão 11.6.0.3 ou posterior. Atualize o ssl para a versão 11.2.12.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Erlang/OTP versões 20.0 até 29.0.2 Erlang/OTP versões 28.0 até 28.5.0.2 Erlang/OTP versões 27.0 até 27.3.4.13 ssl versões 8.2 até 11.7.2 ssl versões 11.6.0 até 11.6.0.2 ssl versões 11.2.0 até 11.2.12.9 **Description** O uso de uma chave criptográfica padrão no servidor DTLS permite o cálculo previsível de cookies DTLS durante a janela de inicialização, possibilitando a evasão da verificação de endereço de origem. Na inicialização do servidor, a função `dtls server connection:initial hello/3` inicializa a variável `previous cookie secret` como um binário vazio em vez de um valor aleatório. Como o HMAC com uma chave vazia é determinístico, um invasor que observe o ClientHello em texto simples pode calcular o `dtls handshake:cookie()` e forjar um cookie DTLS válido antes da primeira rotação do segredo (geralmente entre 0 a 15 segundos). Isso permite a amplificação de handshake DTLS com endereços de origem falsificados, ignorando a mitigação de negação de serviço destinada a evitar que IPs falsificados forcem o servidor a alocar estado e realizar operações criptográficas dispendiosas. **Recommendations** Atualize o Erlang/OTP para a versão 29.0.3, 28.5.0.3 ou 27.3.4.14. Atualize o ssl para a versão 11.7.3, 11.6.0.3 ou 11.2.12.10.

**Nome do Software Vulnerável e Versões Afetadas** Erlang OTP versões 19.3 até 26.2.5.20 Erlang OTP versões 26.2.5.21 até 27.3.4.11 Erlang OTP versões 27.3.4.12 até 28.5.0.0 Erlang OTP versões 28.5.0.1 até 29.0.0 public key versões 1.4 até 1.15.1.6 public key versões 1.15.1.7 até 1.17.1.2 public key versões 1.17.1.3 até 1.20.3.0 public key versões 1.20.3.1 até 1.21.0 **Description** A validação inadequada de certificados nos módulos `pubkey cert` e `public key` permite a evasão de nameConstraints de DNS durante a verificação de nome de host TLS. Isso ocorre porque a função `pubkey cert:validate names/6` verifica apenas as entradas de DNS do Subject Alternative Name (SAN) em relação às nameConstraints, o que significa que certificados sem um SAN satisfazem trivialmente as restrições de DNS permitidas. Simultaneamente, a função `public key:pkix verify hostname/3` recorre ao CommonName do assunto quando nenhum SAN está presente, comparando-o com o nome de host de referência. Essa combinação permite que uma CA subordinada com nameConstraints de DNS restritas emita um certificado final que um cliente TLS OTP aceita para um nome de host fora de escopo. Essa evasão é acessível via `ssl:connect` utilizando `verify peer`, uma CA confiável, SNI e o correspondente de nome de host https estrito. **Recommendations** Atualize o Erlang OTP para a versão 26.2.5.21, 27.3.4.12, 28.5.0.1 ou 29.0.1, dependendo da ramificação de lançamento atual. Atualize o public key para a versão 1.15.1.7, 1.17.1.3, 1.20.3.1 ou 1.21.1, dependendo da ramificação de lançamento atual. Utilize a opção `verify fun` no aplicativo ssl para garantir que as conexões TLS falhem se o certificado da entidade final não possuir a extensão subjectAltName ou um nome de domínio, assegurando que a `verify fun` não aceite o erro `name not permitted`.