CVE-2026-115693

Nome do Software Vulnerável e Versões Afetadas benoitc hackney versões 1.24.0 até 4.8.9

Descrição A validação inadequada de certificados em hackney ssl permite que um invasor no caminho (on-path) se passe por um servidor fixado a uma autoridade certificadora (CA) privada. Isso ocorre porque a função hackney ssl:merge ssl opts/3 mantém um callback padrão {partial chain, fun hackney ssl:partial chain/1} mesmo quando o usuário substitui o armazenamento de confiança por cacerts ou cacertfile em ssl options. Como o OTP prioriza esse callback em relação ao armazenamento de confiança configurado, qualquer cadeia de certificados que termine em uma raiz publicamente confiável é aceita, ignorando a fixação da CA privada. O invasor deve possuir um certificado publicamente confiável para o nome do host fixado para ter sucesso.

Recomendações Atualize para a versão 4.9.0 ou posterior. Como solução temporária, forneça um {partial chain, Fun} personalizado em ssl options que retorne unknown ca para forçar a validação apenas contra os cacerts configurados.