CVE-2026-48860
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 — wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność polegająca na poleganiu na adresie IP w celu uwierzytelnienia w module inet_tls_dist Erlang/OTP umożliwia nieautoryzowane ominięcie listy dozwolonych adresów LAN dla dystrybucji przez TLS. Funkcja inet_tls_dist:check_ip/1 błędnie używa inet:sockname/1, co prowadzi do zawsze pozytywnego porównania maski podsieci.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do węzła Erlang, co pozwala na wykonanie zdalnych wywołań RPC oraz ładowanie kodu binarnego. Posiadacze certyfikatów TLS podpisanych przez CA mogą uzyskać pełny dostęp do dystrybucji Erlang.
Rekomendacja
Zaleca się aktualizację do wersji OTP 29.0.2 lub nowszej, 28.5.0.2 oraz 27.3.4.13, aby usunąć tę podatność. Należy również rozważyć dodatkowe mechanizmy uwierzytelniania, aby zabezpieczyć dostęp do węzłów.
Oryginalny opis (angielski, źródło NVD)
Reliance on IP Address for Authentication vulnerability in Erlang/OTP ssl (inet_tls_dist module) allows unauthenticated bypass of the distribution-over-TLS LAN allowlist. The inet_tls_dist:check_ip/1 function, which enforces a LAN allowlist for Erlang distribution over TLS, calls inet:sockname/1 instead of inet:peername/1 to obtain the peer's IP address. Because inet:sockname/1 returns the local socket address, both the local IP and the supposed peer IP resolve to the same value, causing the subnet mask comparison to always succeed regardless of the actual remote address. Any holder of a CA-signed TLS certificate can therefore bypass the LAN restriction and gain full Erlang distribution access to the node, including rpc:call/4 and code:load_binary/3. This vulnerability is associated with program file lib/ssl/src/inet_tls_dist.erl. This issue affects OTP from OTP 26.0 before 29.0.2, 28.5.0.2 and 27.3.4.13 corresponding to ssl from 11.0 before 11.7.2, 11.6.0.2 and 11.2.12.9.