Jakub Witczak

O cliente TLS 1.2 (e anteriores) e DTLS não verifica se a suíte de cifras selecionada pelo servidor na mensagem ServerHello estava entre as suítes oferecidas pelo cliente na ClientHello. O manipulador `tls handshake:hello/5` valida a versão do protocolo e o sentinela de downgrade, mas passa a suíte escolhida pelo servidor para `ssl handshake:handle server hello extensions/9` sem uma verificação de associação. Um atacante on-path pode forçar o uso de suítes de troca de chaves anônimas, como `TLS DH anon *` ou `TLS ECDH anon *`, que não exigem certificados do servidor. Isso ignora as configurações `verify peer` e `cacerts`, permitindo que o atacante complete o handshake sem validação de certificado ou hostname, tornando todo o tráfego subsequente da aplicação legível e modificável.

Um estouro de buffer existe no driver C do scanner flex do megaco. Um invasor remoto não autenticado pode corromper a memória do driver enviando uma mensagem H.248/Megaco codificada em texto contendo um nome de parâmetro de propriedade excessivamente grande. Durante a tokenização de um descritor Local/Remote, a função `mfs load property groups()` extrai o nome da propriedade e o formata em um campo `error msg` fixo de 512 bytes da estrutura `MfsErlDrvData` usando uma chamada `sprintf` não verificada. Nomes que excedam aproximadamente 452 bytes transbordam para campos adjacentes da estrutura, incluindo `text buf`, `text ptr`, `term spec`, `term spec size` e `term spec index`. Isso permite que o invasor sobrescreva ponteiros e contadores, potencialmente levando a primitivas de escrita e liberação arbitrária dentro do processo da VM BEAM, o que pode resultar na execução remota de código. Em compilações compiladas com ` FORTIFY SOURCE`, o estouro dispara um SIGABRT, causando a negação de serviço. O problema ocorre antes do processamento de autenticação e requer que o nó esteja configurado com `{scanner, flex}`.

A alocação de recursos sem limites na validação do caminho do certificado do módulo public key permite que um atacante remoto não autenticado cause a negação de serviço. Ao enviar uma cadeia de certificados X.509 manipulada durante o handshake TLS, um atacante pode desencadear o crescimento ilimitado da árvore de políticas de certificado durante o processamento de políticas RFC 5280 na função `pkix path validation/3`. Isso ocorre porque as funções `pubkey policy tree:add leaves/2` e `pubkey policy tree:add leaf siblings/2` estendem a árvore por política por certificado, levando a um crescimento exponencial. Isso pode travar os escalonadores BEAM e esgotar a memória do nó, resultando no travamento completo da máquina virtual. O problema afeta qualquer conexão TLS de entrada ou saída que valide a cadeia do peer, como clientes SSL/TLS e servidores mutual-TLS.

A aplicação ssl não detecta ciclos ao reconstruir uma cadeia de certificados de pares incompleta durante um handshake TLS ou DTLS. Especificamente, a função `handle incomplete chain/5` passa a cadeia para `build certificate chain/5`, que então utiliza `do certificate chain/7` para percorrer relações de emissor sem limite de profundidade ou detecção de ciclos. Se um par fornecer dois certificados assinados mutuamente de forma desordenada, o sistema entra em recursão indefinida, fazendo com que a pilha de chamadas e o acumulador de cadeia cresçam sem limites. Um invasor remoto não autenticado pode explorar isso enviando uma cadeia de certificados manipulada em uma mensagem de handshake para esgotar a memória e travar o nó BEAM. Isso afeta tanto servidores quanto clientes e requer apenas uma conexão TCP e um handshake parcial.

A aplicação ssl não valida se a lista de identidade PSK e a lista de binder transportadas em uma extensão de pré-chave compartilhada ClientHello TLS 1.3 possuem o mesmo comprimento. Na função `handle pre shared key/3`, um registro `OfferedPreSharedKeys` com comprimentos incompatíveis é encaminhado para `use/4`, o que causa a falha do processo do manipulador de tickets de sessão. Um invasor remoto não autenticado pode enviar um ClientHello manipulado para um servidor TLS 1.3 com tickets de sessão habilitados para interromper o processamento de tickets de sessão. Embora novos handshakes TLS 1.3 possam ser concluídos, eles falham quando o servidor tenta emitir um ticket de sessão, tornando o TLS 1.3 inutilizável no listener até que a aplicação seja reiniciada. Conexões TLS 1.2 não são afetadas.

A aplicação inadequada da integridade da mensagem durante a transmissão no módulo `tls gen connection` permite que um invasor posicionado na rede injete texto simples não autenticado que a aplicação cliente TLS posteriormente trata como dados de servidor autenticados. A função `handle protocol record()` não rejeita registros APPLICATION DATA que chegam em estados de pré-handshake quando o endpoint atua como um cliente. Um invasor pode enviar registros APPLICATION DATA em texto simples durante o handshake, que são armazenados em buffer e entregues à aplicação como dados autenticados pós-handshake assim que o handshake for concluído. Isso resulta na injeção cega de bytes não autenticados. A janela de injeção é maior para versões do TLS anteriores ao TLS 1.3 do que para o TLS 1.3.

Um loop infinito existe no módulo `ssh sftpd` do Erlang OTP. Um usuário SFTP autenticado pode tornar um canal SFTP permanentemente inoperante ao enviar `SSH MSG CHANNEL EXTENDED DATA` com um código de tipo diferente de zero, um buffer pendente vazio e um payload dentro do limite de tamanho de pacote SFTP. Isso dispara um loop recursivo de cauda na função `handle data()`, fazendo com que o processo pare de processar mensagens e leve ao crescimento ilimitado da memória da fila de mensagens e alto consumo de CPU. O impacto é a negação de serviço nos canais SFTP visados. Esse efeito pode ser amplificado se a configuração `max channels` estiver definida como infinita, permitindo que um único usuário abra canais ilimitados.

Uma discrepância de resposta observável no módulo `ssh sftpd` permite que um usuário SFTP autenticado enumere arquivos e diretórios fora do diretório raiz configurado. O manipulador `SSH FXP REALPATH` chama `relate file name/3` com `Canonicalize=false`, o que permite que componentes de travessia de caminho ignorem a verificação `is within root/2`. O caminho então entra em `resolve symlinks/2`, que executa chamadas de sistema `read link()` em caminhos arbitrários do sistema de arquivos. Um invasor pode usar um caminho de travessia manipulado em uma solicitação REALPATH para criar um oráculo de existência de caminho, pois o servidor retorna `SSH FXP NAME` se o caminho existir e `SSH FX NO SUCH FILE` caso contrário. Este problema está associado ao arquivo `lib/ssh/src/ssh sftpd.erl` e à função `ssh sftpd:handle op/4`. Esta falha apenas vaza a existência de caminhos e não fornece acesso ao conteúdo de arquivos ou credenciais.

Um problema no módulo `inet tls dist` permite a evasão não autenticada da lista de permissões (allowlist) de LAN para a distribuição Erlang via TLS. A função `check ip()` chama incorretamente `sockname()` em vez de `peername()` para recuperar o endereço IP do peer. Como `sockname()` retorna o endereço do socket local, a comparação da máscara de sub-rede sempre é bem-sucedida, independentemente do endereço remoto real. Consequentemente, qualquer detentor de um certificado TLS assinado por uma CA pode ignorar as restrições de LAN e obter acesso total de distribuição ao nó, incluindo a capacidade de usar as funções `rpc:call()` e `code:load binary()`.

Um problema no módulo `ssh sftpd` permite a descoberta de arquivos através da exposição de informações sensíveis. O manipulador `SSH FXP READLINK` envia o resultado bruto da função `file:read link/2` para o cliente sem utilizar `chroot filename/2` para remover o prefixo da raiz do backend. Consequentemente, um cliente SFTP autenticado pode criar um link simbólico dentro do chroot apontando para `/`, e a leitura desse link via `SSH FXP READLINK` retorna o caminho absoluto da raiz do backend (ex: `/data/sftp`) em vez do valor chrooted `/`. Isso expõe o caminho absoluto do sistema de arquivos do diretório raiz do SFTP e de quaisquer alvos de links simbólicos dentro dele, embora o conteúdo de arquivos, credenciais e caminhos fora do diretório raiz permaneçam inacessíveis. Este problema está associado ao arquivo `lib/ssh/src/ssh sftpd.erl` e requer que o subsistema SFTP esteja habilitado com a opção `root` configurada na chamada `ssh sftpd:subsystem spec/1`.

Um canal lateral de temporização na autenticação de senha permite que atacantes remotos não autenticados enumerem nomes de usuário. Quando o daemon SSH é configurado com a opção `user passwords` ou `password`, a função `check password/3()` no módulo `ssh auth` realiza um cálculo PBKDF2-SHA256 para nomes de usuário válidos, levando aproximadamente 300ms. Por outro lado, para nomes de usuário inválidos, a função `get password option/2()` no módulo `ssh options` retorna imediatamente. Essa discrepância permite que um atacante distinga entre nomes de usuário válidos e inválidos em uma única tentativa.

A validação inadequada de certificados nos módulos `pubkey cert` e `public key` permite a evasão de nameConstraints de DNS durante a verificação de nome de host TLS. Isso ocorre porque a função `pubkey cert:validate names/6` verifica apenas as entradas de DNS do Subject Alternative Name (SAN) em relação às nameConstraints, o que significa que certificados sem um SAN satisfazem trivialmente as restrições de DNS permitidas. Simultaneamente, a função `public key:pkix verify hostname/3` recorre ao CommonName do assunto quando nenhum SAN está presente, comparando-o com o nome de host de referência. Essa combinação permite que uma CA subordinada com nameConstraints de DNS restritas emita um certificado final que um cliente TLS OTP aceita para um nome de host fora de escopo. Essa evasão é acessível via `ssl:connect` utilizando `verify peer`, uma CA confiável, SNI e o correspondente de nome de host https estrito.

O acompanhamento inadequado da cadeia de confiança de um certificado no módulo `pubkey cert` permite que um certificado não-CA seja aceito como um emissor intermediário, possibilitando a falsificação da cadeia de certificados. A função `pubkey cert:validate extensions/7` contém falhas onde um certificado com `basicConstraints` definido como `cA:false` e sem a extensão `keyUsage` pode ser usado como emissor intermediário em uma cadeia passada para `public key:pkix path validation/3`. Isso ocorre porque a cláusula `cA:false` não rejeita o certificado quando ele está na posição de emissor, e a verificação de `keyUsage` é ignorada se a extensão estiver totalmente ausente. Consequentemente, um invasor com um certificado de entidade final emitido por uma CA confiável pode assinar certificados folha falsificados para identidades arbitrárias. Isso afeta todos os endpoints TLS ou mTLS construídos na aplicação ssl do OTP que utilizam o verificador padrão, incluindo a verificação de identidade do servidor no lado do cliente e a verificação de certificado do cliente em servidores mTLS.

A Validação Imprópria de Certificado no módulo `pubkey ocsp` do `public key` do Erlang OTP permite que respostas forjadas do Online Certificate Status Protocol (OCSP), assinadas com um certificado de respondedor expirado, sejam aceitas como válidas. As funções `verify response/5` e `is authorized responder/3` não verificam o período de validade (`notBefore`/`notAfter`) do certificado do respondedor OCSP. Um invasor que possua a chave privada de um certificado de respondedor OCSP designado pela CA e expirado pode forjar respostas que o sistema aceita. Isso afeta clientes TLS que utilizam OCSP stapling via aplicação `ssl`, permitindo que um servidor comprometido apresente um certificado TLS revogado como válido. Também afeta aplicações que chamam diretamente a função `pkix ocsp validate/5`, o que pode levar ao bypass de autenticação durante a validação de certificado de cliente no lado do servidor.

Uma falha de path traversal no módulo `ssh sftpd` do Erlang OTP ssh permite que um usuário SFTP autenticado modifique atributos de arquivos fora do diretório chroot configurado. O daemon SFTP armazena o caminho bruto fornecido pelo usuário em handles de arquivo em vez do caminho resolvido pelo chroot. Quando o `SSH FXP FSETSTAT` é emitido em tal handle, os atributos do arquivo (permissões, propriedade, timestamps) são modificados no caminho real do sistema de arquivos, ignorando completamente o limite do diretório raiz. Isso requer que o servidor esteja configurado com a opção root e que o arquivo alvo exista no sistema de arquivos real no mesmo caminho relativo. Esta falha permite apenas a modificação de atributos de arquivos; o conteúdo dos arquivos não pode ser lido ou alterado. Se o daemon SSH for executado como root, um invasor pode obter escalonamento de privilégios ao definir o bit setuid em binários, alterar a propriedade de arquivos sensíveis ou tornar configurações do sistema graváveis por qualquer usuário. O problema está associado ao arquivo `lib/ssh/src/ssh sftpd.erl` e às funções `ssh sftpd:do open/4` e `ssh sftpd:handle op/4`.

Existe uma falha no public key (módulo pubkey ocsp) do Erlang OTP relacionada à validação inadequada de certificados. Especificamente, o processo de validação da resposta OCSP não verifica a assinatura criptográfica dos certificados de respondedores designados pela CA, confiando apenas na correspondência do nome do emissor e no uso estendido OCSPSigning. Isso permite que um invasor falsifique respostas OCSP, marcando potencialmente certificados revogados como válidos. Isso afeta os clientes SSL/TLS que usam OCSP stapling e aplicativos que usam diretamente a API `public key:pkix ocsp validate/5`. O código vulnerável está localizado nos arquivos lib/public key/src/pubkey ocsp.erl e nas rotinas de programa `pubkey ocsp:is authorized responder/3`.

An issue exists in Erlang OTP ssh (ssh transport modules) that allows for Denial of Service via Resource Depletion. The SSH transport layer, by default, advertises legacy zlib compression and inflates attacker-controlled payloads without a size limit before authentication. This enables a reliable memory exhaustion attack. Two compression algorithms are affected: zlib, which activates immediately after key exchange, and zlib@openssh.com, which activates post-authentication. Each SSH packet can decompress approximately 255 MB from 256 KB of data, resulting in a 1029:1 amplification ratio. Multiple packets can quickly exhaust available memory, potentially causing Out-Of-Memory (OOM) kills in environments with limited memory. The issue is associated with the `ssh transport.erl` file and the `ssh transport:decompress/2` and `ssh transport:handle packet part/4` routines.

An improper limitation of a pathname to a restricted directory, specifically a 'Path Traversal' issue, exists in the Erlang OTP `ssh sftpd` module. The SFTP server uses string prefix matching with the `lists:prefix/2` function instead of proper path component validation when verifying if a path is within the configured root directory. This allows authenticated users to access sibling directories that share a common name prefix with the configured root directory. For example, if the root directory is set to `/home/user1`, paths like `/home/user10` or `/home/user1 backup` could be incorrectly considered within the root. The issue is associated with the program file `lib/ssh/src/ssh sftpd.erl` and the `ssh sftpd:is within root/2` function.

O software apresenta uma vulnerabilidade de Travessia de Caminho Relativo e Isolamento ou Compartimentalização Impróprios. A vulnerabilidade está associada aos arquivos de programa `lib/tftp/src/tftp file.erl` e `src/tftp file.erl`. A vulnerabilidade afeta os módulos `tftp file` do Erlang/OTP, inets e tftp.

An Allocation of Resources Without Limits or Throttling issue exists in Erlang OTP ssh (ssh sftp modules), potentially leading to Excessive Allocation and Resource Leak Exposure. The issue is associated with the `ssh sftpd.erl` file.