Lukas Backström

A complexidade algorítmica ineficiente no decodificador asn1 OBJECT IDENTIFIER permite que um invasor remoto não autenticado cause a negação de serviço ao enviar um OID manipulado durante o handshake TLS. O problema ocorre porque o decodificador acumula um subidentificador base-128 em um inteiro ilimitado, resultando em um trabalho total quadrático em relação ao tamanho de um único subidentificador. Este comportamento está presente na função `asn1rtt ber:dec subidentifiers/3` em `lib/asn1/src/asn1rtt ber.erl`, na função `asn1rtt per common:dec subidentifiers/3` em `lib/asn1/src/asn1rtt per common.erl` e na função `asn1rtt jer:json2oid/1` em `lib/asn1/src/asn1rtt jer.erl`. O decodificador vulnerável é gerado em cada módulo ASN.1 que contém um OBJECT IDENTIFIER, incluindo o `OTP-PUB-KEY` durante a análise de certificados X.509 via `public key:pkix decode cert/2`. Como esse processo ocorre antes da verificação de assinatura ou da cadeia de confiança, qualquer serviço Erlang que analise certificados TLS de pares, como clientes TLS ou servidores mutual-TLS, está exposto.

Um vazamento de recurso no módulo `inets httpd` permite que um invasor remoto não autenticado cause a negação de serviço. Ao enviar uma requisição com um corpo fragmentado (chunked) onde a linha de tamanho do fragmento não é um número hexadecimal, e garantindo que esta linha chegue em uma gravação separada dos cabeçalhos, o invasor pode fazer com que o worker que atende a conexão fique travado. Especificamente, a função `httpd request handler:handle info/2` converte um erro de `http chunk:decode size/4` em um valor de retorno, fazendo com que o worker aguarde indefinidamente por dados que nunca chegam. Como o tempo limite da requisição é cancelado após a aceitação dos cabeçalhos e a verificação de taxa de bytes é desativada por padrão, a repetição desta requisição em múltiplas conexões pode ocupar todos os workers disponíveis, negando o serviço a clientes legítimos.

A aplicação ssl não detecta ciclos ao reconstruir uma cadeia de certificados de pares incompleta durante um handshake TLS ou DTLS. Especificamente, a função `handle incomplete chain/5` passa a cadeia para `build certificate chain/5`, que então utiliza `do certificate chain/7` para percorrer relações de emissor sem limite de profundidade ou detecção de ciclos. Se um par fornecer dois certificados assinados mutuamente de forma desordenada, o sistema entra em recursão indefinida, fazendo com que a pilha de chamadas e o acumulador de cadeia cresçam sem limites. Um invasor remoto não autenticado pode explorar isso enviando uma cadeia de certificados manipulada em uma mensagem de handshake para esgotar a memória e travar o nó BEAM. Isso afeta tanto servidores quanto clientes e requer apenas uma conexão TCP e um handshake parcial.

Um subfluxo de inteiro (integer underflow) existe no decodificador External Term Format (ETF) dentro do manipulador da tag `BIT BINARY EXT` (77). Quando o decodificador aceita uma codificação onde os campos de comprimento e bits finais são definidos como zero, o cálculo do tamanho da string de bits sofre um underflow em um inteiro sem sinal. Isso resulta em um valor extremamente grande (aproximadamente 2^64) sendo passado como tamanho de alocação de memória, fazendo com que o alocador aborte todo o nó. Este aborto em nível de VM não pode ser interceptado por árvores de supervisão, blocos try/catch ou pela opção `[safe]` em `binary to term/2`. Aplicações que decodificam ETF de fontes não confiáveis usando `binary to term/1,2` ou `enif binary to term()` estão expostas. O protocolo de distribuição Erlang também utiliza este caminho de código, embora seja destinado a redes confiáveis.

A alocação de recursos sem limites na validação do caminho do certificado do módulo public key permite que um atacante remoto não autenticado cause a negação de serviço. Ao enviar uma cadeia de certificados X.509 manipulada durante o handshake TLS, um atacante pode desencadear o crescimento ilimitado da árvore de políticas de certificado durante o processamento de políticas RFC 5280 na função `pkix path validation/3`. Isso ocorre porque as funções `pubkey policy tree:add leaves/2` e `pubkey policy tree:add leaf siblings/2` estendem a árvore por política por certificado, levando a um crescimento exponencial. Isso pode travar os escalonadores BEAM e esgotar a memória do nó, resultando no travamento completo da máquina virtual. O problema afeta qualquer conexão TLS de entrada ou saída que valide a cadeia do peer, como clientes SSL/TLS e servidores mutual-TLS.

A aplicação ssl não valida se a lista de identidade PSK e a lista de binder transportadas em uma extensão de pré-chave compartilhada ClientHello TLS 1.3 possuem o mesmo comprimento. Na função `handle pre shared key/3`, um registro `OfferedPreSharedKeys` com comprimentos incompatíveis é encaminhado para `use/4`, o que causa a falha do processo do manipulador de tickets de sessão. Um invasor remoto não autenticado pode enviar um ClientHello manipulado para um servidor TLS 1.3 com tickets de sessão habilitados para interromper o processamento de tickets de sessão. Embora novos handshakes TLS 1.3 possam ser concluídos, eles falham quando o servidor tenta emitir um ticket de sessão, tornando o TLS 1.3 inutilizável no listener até que a aplicação seja reiniciada. Conexões TLS 1.2 não são afetadas.

Um loop infinito existe no módulo `ssh sftpd` do Erlang OTP. Um usuário SFTP autenticado pode tornar um canal SFTP permanentemente inoperante ao enviar `SSH MSG CHANNEL EXTENDED DATA` com um código de tipo diferente de zero, um buffer pendente vazio e um payload dentro do limite de tamanho de pacote SFTP. Isso dispara um loop recursivo de cauda na função `handle data()`, fazendo com que o processo pare de processar mensagens e leve ao crescimento ilimitado da memória da fila de mensagens e alto consumo de CPU. O impacto é a negação de serviço nos canais SFTP visados. Esse efeito pode ser amplificado se a configuração `max channels` estiver definida como infinita, permitindo que um único usuário abra canais ilimitados.

O uso de uma chave criptográfica padrão no servidor DTLS permite o cálculo previsível de cookies DTLS durante a janela de inicialização, possibilitando a evasão da verificação de endereço de origem. Na inicialização do servidor, a função `dtls server connection:initial hello/3` inicializa a variável `previous cookie secret` como um binário vazio em vez de um valor aleatório. Como o HMAC com uma chave vazia é determinístico, um invasor que observe o ClientHello em texto simples pode calcular o `dtls handshake:cookie()` e forjar um cookie DTLS válido antes da primeira rotação do segredo (geralmente entre 0 a 15 segundos). Isso permite a amplificação de handshake DTLS com endereços de origem falsificados, ignorando a mitigação de negação de serviço destinada a evitar que IPs falsificados forcem o servidor a alocar estado e realizar operações criptográficas dispendiosas.

A aplicação inadequada da integridade da mensagem durante a transmissão no módulo `tls gen connection` permite que um invasor posicionado na rede injete texto simples não autenticado que a aplicação cliente TLS posteriormente trata como dados de servidor autenticados. A função `handle protocol record()` não rejeita registros APPLICATION DATA que chegam em estados de pré-handshake quando o endpoint atua como um cliente. Um invasor pode enviar registros APPLICATION DATA em texto simples durante o handshake, que são armazenados em buffer e entregues à aplicação como dados autenticados pós-handshake assim que o handshake for concluído. Isso resulta na injeção cega de bytes não autenticados. A janela de injeção é maior para versões do TLS anteriores ao TLS 1.3 do que para o TLS 1.3.

Uma condição de corrida de Time-of-check Time-of-use (TOCTOU) existe no módulo `dtls packet demux` dentro do componente ssl. Isso ocorre quando um listener de servidor DTLS usa um processo `gen server` `dtls packet demux` compartilhado para rotear datagramas UDP. Um invasor remoto não autenticado pode causar uma falha ao enviar rapidamente múltiplas mensagens ClientHello do mesmo endereço e porta de origem. Isso cria uma condição de corrida no armazenamento de chave-valor interno `gb trees`, resultando em um erro `{key exists, {old, Client}}` que encerra o processo demux. Como esse processo é compartilhado, todas as sessões DTLS ativas no listener são encerradas, levando a uma negação de serviço persistente. O problema está localizado no arquivo `lib/ssl/src/dtls packet demux.erl` e afeta apenas implantações que utilizam `ssl:listen/2` com transporte baseado em UDP.

Um problema no módulo `inet tls dist` permite a evasão não autenticada da lista de permissões (allowlist) de LAN para a distribuição Erlang via TLS. A função `check ip()` chama incorretamente `sockname()` em vez de `peername()` para recuperar o endereço IP do peer. Como `sockname()` retorna o endereço do socket local, a comparação da máscara de sub-rede sempre é bem-sucedida, independentemente do endereço remoto real. Consequentemente, qualquer detentor de um certificado TLS assinado por uma CA pode ignorar as restrições de LAN e obter acesso total de distribuição ao nó, incluindo a capacidade de usar as funções `rpc:call()` e `code:load binary()`.

O problema está relacionado a uma vulnerabilidade de Traversal de Caminho no Erlang OTP, especificamente nos módulos stdlib. Esta vulnerabilidade permite Traversal de Caminho Absoluto e Manipulação de Arquivos. Está associada aos arquivos do programa lib/stdlib/src/zip.erl e às funções `zip:unzip/1`, `zip:unzip/2`, `zip:extract/1` e `zip:extract/2`, a menos que a opção de memória seja utilizada.