CVE-2026-66357
WysokieCVSS 8.3Streszczenie
Serwer HTTP inets w Erlang/OTP nie implementuje obsługi kontynuacji nagłówków (obs-fold), co może prowadzić do podatności na przemycanie żądań HTTP (request smuggling). Każdy CRLF po którym następuje nie-CRLF rozpoczyna nowy nagłówek, co może być wykorzystane przez atakującego.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do przemycania żądań, co może prowadzić do naruszenia integralności sesji, ataków na inne systemy lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Erlang/OTP do wersji z poprawką (OTP 27.3.4.17, 28.5.0.6 lub 29.0.6) lub zastosuj dodatkowe zabezpieczenia, takie jak filtry na poziomie proxy.
Inne podatności w Erlang/OTP inets
Zobacz wszystkie- CVE-2026-74994Średnie
Moduł mod_auth w serwerze inets httpd OTP, przy użyciu backendów uwierzytelniania dets lub mnesia oraz wielu bloków konfiguracji katalogów, scala wszystkie bloki katalogów w jedną wspólną przestrzeń nazw użytkowników/grup. Użytkownik dodany do jednego chronionego katalogu jest akceptowany jako ważny dla wszystkich innych chronionych katalogów na tym samym serwerze.
- CVE-2026-73270Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na odczyt plików w katalogu chronionym przez mod_auth, poprzez wysłanie żądania z inną wielkością liter, gdy system plików nie rozróżnia wielkości liter. Sprawdzenie ścieżki nie uwzględnia opcji caseless, co pozwala ominąć uwierzytelnienie.
- CVE-2026-71562Średnie
W module httpc w Erlang/OTP inets występuje podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych. Złośliwy lub skompromitowany serwer HTTP może obniżyć dostępność, zwracając nagłówek numeryczny o bardzo długiej sekwencji cyfr, co prowadzi do kosztownej konwersji na liczbę całkowitą.
- CVE-2026-71380Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi poprzez wysłanie prawidłowych nagłówków z dużą wartością Content-Length, a następnie wstrzymanie transmisji przed zakończeniem ciała. Serwer anuluje limit czasu po parsowaniu nagłówków i nie ustawia nowego, co prowadzi do zawieszenia procesu roboczego.
- CVE-2026-70399Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi poprzez otwarcie i utrzymanie dużej liczby połączeń. Opcja max_clients nie jest domyślnie ustawiana, co pozwala na nieograniczoną liczbę jednoczesnych połączeń, prowadząc do wyczerpania zasobów.
- CVE-2026-66835Wysokie
Podatność w serwerze HTTP inets w Erlang/OTP pozwala zdalnemu, nieuwierzytelnionemu atakującemu na odczyt plików w katalogu chronionym przez mod_auth poprzez dodanie dodatkowego ukośnika na początku ścieżki. Normalizacja URI nie usuwa podwójnych ukośników, co powoduje, że sprawdzenie ścieżki nie rozpoznaje chronionego katalogu.
Oryginalny opis (angielski, źródło NVD)
httpd has never implemented obs-fold (RFC 2616 §2.2 / RFC 7230 §3.2.4 header continuation lines). Every CRLF followed by a non-CRLF octet unconditionally starts a new header. This missing feature became a security concern as the understanding of HTTP request smuggling attacks evolved. This issue affects OTP from OTP 17.0 before OTP 27.3.4.17, from OTP 28.0 before OTP 28.5.0.6, and from OTP 29.0 before OTP 29.0.6, corresponding to inets from 5.10 before 9.3.2.7, from 9.4 before 9.6.2.3, and from 9.7 before 9.7.2. Whether OTP before OTP 17.0, corresponding to inets before 5.10, is affected is unknown.