CVE-2026-117666

Nome do Software Vulnerável e Versões Afetadas deadtrickster ssl verify fun versões 1.0.1 até 1.1.7

Descrição A validação inadequada de certificados com incompatibilidade de host permite que um adversário no meio se passe por um peer TLS usando um certificado com um curinga de rótulo parcial. A função try match wildcard/4 em src/ssl verify hostname.erl ancora apenas o texto antes e depois do asterisco em identificadores como f*.example.net, permitindo que o curinga consuma pontos e aceite certificados para domínios não autorizados, como f.evil.example.net. Isso contraria a RFC 6125, que restringe curingas ao rótulo mais à esquerda. Além disso, o correspondente permite que *.168.1.1 corresponda ao literal de IP 192.168.1.1. Este problema afeta clientes que desativam a Indicação do Nome do Servidor (SNI), servidores que verificam nomes de host de certificados de cliente e chamadores diretos da função verify cert hostname/2.

Recomendações Atualize o deadtrickster ssl verify fun para a versão 1.1.8.