Podatności Erlang OTP

W Erlang OTP (moduł inets) występuje podatność nieprawidłowej autoryzacji. Gdy script_alias mapuje prefiks URL do katalogu poza DocumentRoot, mod_auth ocenia reguły dostępu względem ścieżki DocumentRoot, podczas gdy mod_cgi wykonuje skrypt w ścieżce ScriptAlias. Ta niezgodność umożliwia nieuwierzytelniony dostęp do skryptów CGI chronionych regułami katalogowymi.

W Erlang OTP (moduł inets httpd) występuje podatność na przemycanie żądań HTTP (HTTP Request Smuggling). Serwer nie odrzuca ani nie normalizuje duplikatów nagłówków Content-Length. Używana jest pierwsza wartość, podczas gdy popularne proxy używają ostatniej, co umożliwia desynchronizację front-end/back-end i wstrzyknięcie danych kontrolowanych przez atakującego jako początek następnego żądania.

Wykryto problem w Erlang/OTP 18.x, związany z generowaniem skompilowanych wyrażeń regularnych, który jest podatny na przepełnienie sterty. Wyrażenia regularne wykorzystujące źle sformułowany extpattern mogą pośrednio określać offset używany jako indeks tablicy.

Podatność w aplikacji SSL biblioteki Erlang/OTP pozwala na wyczerpanie pamięci poprzez wysłanie spreparowanego łańcucha certyfikatów podczas uzgadniania TLS/DTLS. Brak wykrywania cykli w funkcji budującej łańcuch certyfikatów powoduje nieograniczoną rekurencję, co prowadzi do awarii węzła BEAM.

Klient TLS 1.2 (i wcześniejszych) oraz DTLS w Erlang/OTP nie weryfikuje, czy zestaw szyfrów wybrany przez serwer w ServerHello był wśród zestawów oferowanych przez klienta. Atakujący w środku połączenia może wybrać anonimowy zestaw szyfrów, co omija weryfikację certyfikatu i hostname, pozwalając na przechwycenie i modyfikację ruchu.

W Erlang OTP występuje podatność na błąd konwersji ze znakiem na bez znaku oraz zapis poza dozwolonym obszarem sterty podczas dekodowania specjalnie spreparowanego formatu ETF. Atakujący może dostarczyć złośliwy binarny ETF do binary_to_term/1, co prowadzi do uszkodzenia wskaźnika sterty BEAM i awarii maszyny wirtualnej.

Podatność w dekoderze External Term Format (ETF) w ERTS powoduje niedomiar liczby całkowitej przy przetwarzaniu specjalnie spreparowanych danych binarnych. Prowadzi to do alokacji ogromnego obszaru pamięci i awarii całego węzła Erlang/VM.

W module zip biblioteki stdlib Erlang OTP występuje podatność na ścieżkę względną (path traversal) umożliwiająca zapis plików poza zamierzonym katalogiem podczas rozpakowywania spreparowanego archiwum zip. Funkcja zip:check_dir_level/2 nieprawidłowo waliduje ścieżki zawierające składnię ../.

W Erlang OTP (epmd) występuje podatność na wyczerpanie gniazd połączeń, umożliwiająca nieuwierzytelnionemu zdalnemu atakującemu trwałe zatrzymanie demona epmd. Funkcja do_accept nieprawidłowo traktuje błędy EMFILE/ENFILE jako krytyczne, zamiast je obsłużyć.

Podatność w aplikacji ssl Erlang/OTP. Niezautoryzowany atakujący przez sieć może wysłać spreparowane ClientHello TLS 1.3, powodując awarię procesu obsługi biletów sesji i uniemożliwiając działanie TLS 1.3 na danym listenerze do czasu restartu aplikacji ssl.

Podatność typu TOCTOU (Time-of-check Time-of-use) w module ssl (dtls_packet_demux) w Erlang/OTP. Nieuwierzytelniony atakujący zdalnie może wysłać wiele komunikatów ClientHello z tego samego źródła, powodując wyścig i crash procesu demux, co zrywa wszystkie aktywne sesje DTLS na danym listenerze. Atak jest powtarzalny i nie wymaga uwierzytelnienia.

Podatność związana z użyciem domyślnego klucza kryptograficznego w Erlang/OTP ssl (serwer DTLS) umożliwia przewidywalne obliczanie ciasteczka DTLS podczas okna uruchomienia, co pozwala na ominięcie weryfikacji adresu źródłowego. Podczas uruchamiania serwera DTLS, funkcja dtls_server_connection:initial_hello/3 inicjalizuje previous_cookie_secret jako pusty binarny ciąg zamiast losowej wartości. Ponieważ HMAC z pustym kluczem jest deterministyczny, każdy, kto obserwuje zwykły tekst ClientHello, może obliczyć ciasteczko DTLS i sfałszować prawidłowe ciasteczko przed pierwszą rotacją sekretu.

W bibliotece erl_interface języka Erlang OTP występuje przepełnienie bufora stosowego w funkcji ei_s_print_term. Funkcja używa wewnętrznego bufora 2000 znaków, który może zostać przepełniony podczas formatowania bardzo dużych liczb całkowitych. Przepełnienie ogranicza się do znaków ASCII 0-9 i A-F, co ogranicza eksploatację do ataku DoS.

Podatność przepełnienia bufora na stosie w sterowniku inet_drv Erlang OTP. Nieuwierzytelniony atakujący zdalny może wysłać spreparowany pakiet SCTP ERROR, powodując awarię maszyny wirtualnej BEAM.

Erlang/OTP ssl (inet_tls_dist) używa inet:sockname/1 zamiast inet:peername/1 do sprawdzania adresu IP w funkcji check_ip/1, co powoduje, że lista dozwolonych LAN jest zawsze pomijana. Każdy posiadacz certyfikatu TLS podpisanego przez CA może ominąć ograniczenie LAN i uzyskać pełny dostęp do węzła Erlang.

Podatność SSRF w module FTP Erlang/OTP pozwala atakującemu na przekierowanie połączenia danych do dowolnego wewnętrznego hosta i portu poprzez niezweryfikowaną odpowiedź PASV. Luka występuje w domyślnej konfiguracji (tryb pasywny, IPv4, bez rozszerzeń FTP) i umożliwia ataki typu FTP bounce oraz skanowanie wewnętrznej sieci.

Erlang OTP inets (moduł httpc_response) przed odpowiednimi wersjami łatającymi nie sprawdza granic pochodzenia przy przekierowaniach. Klient httpc przekazuje nagłówki Authorization i Proxy-Authorization do celu przekierowania bez weryfikacji, czy przekierowanie przekracza granicę pochodzenia. Atakujący kontrolujący serwer, z którym ofiara łączy się przez httpc, może wydać przekierowanie 3xx do innego serwera, kradnąc dane uwierzytelniające.

W module ssh_sftpd Erlang OTP SSH występuje podatność ujawniająca informacje. Procedura obsługi SSH_FXP_READLINK wysyła surowy wynik file:read_link/2 do klienta bez wywoływania chroot_filename/2, co ujawnia bezwzględną ścieżkę systemu plików katalogu głównego SFTP oraz celów dowiązań symbolicznych.

Podatność w module public_key Erlang OTP (pubkey_ocsp) powoduje, że sfałszowane odpowiedzi OCSP podpisane wygasłym certyfikatem respondenta są akceptowane jako ważne. Brak sprawdzania okresu ważności certyfikatu respondenta OCSP umożliwia atakującemu z kluczem prywatnym wygasłego certyfikatu fałszowanie odpowiedzi OCSP.

Podatność nieprawidłowej walidacji certyfikatu w module public_key Erlang OTP (pubkey_ocsp) umożliwia ominięcie autoryzacji wyznaczonego respondenta OCSP poprzez brak weryfikacji podpisu. Atakujący może przechwycić odpowiedzi OCSP i sfałszować je, oznaczając odwołane certyfikaty jako ważne.

Podatność w module DNS Erlang/OTP (inet_res, inet_db) umożliwia zatruwanie pamięci podręcznej DNS. Rozwiązanie używa sekwencyjnego, globalnego 16-bitowego ID transakcji bez randomizacji portu źródłowego, co ułatwia atakującemu przewidzenie ID i wstrzyknięcie fałszywych odpowiedzi.

Erlang OTP SSH (moduł ssh_transport) domyślnie reklamuje kompresję zlib, co pozwala na atak bombą dekompresyjną przed uwierzytelnieniem. Każdy pakiet SSH może zdekompresować ~255 MB z 256 KB danych (współczynnik 1029:1), prowadząc do wyczerpania pamięci i DoS. Podatność dotyczy OTP od 17.0 do 28.4.1, 27.3.4.9, 26.2.5.18.

Moduł ssh_sftpd w Erlang OTP przed wersjami OTP 28.4.1, 27.3.4.9 i 26.2.5.18 używa dopasowania prefiksu ciągu zamiast właściwej walidacji komponentów ścieżki. Uwierzytelnieni użytkownicy mogą uzyskać dostęp do katalogów siostrzanych, które mają wspólny prefiks nazwy z skonfigurowanym katalogiem głównym.

Erlang/OTP ma podatność na ścieżkę względną (Relative Path Traversal) w modułach tftp_file, która umożliwia dostęp do plików poza zamierzonym katalogiem. Dotyczy to wersji OTP od 17.0 do 28.3.2, 27.3.4.8 i 26.2.5.17.

Podatność na wyczerpanie zasobów bez limitów w module SSH biblioteki Erlang OTP (ssh_sftp) umożliwia atakującemu przeprowadzenie ataku typu zalewanie (flooding). Problem dotyczy pliku lib/ssh/src/ssh_sftpd.erl i występuje w wersjach OTP od 17.0 do 28.0.3, 27.3.4.3 i 26.2.5.15.

W OTP SSH (moduły ssh_sftp) przed odpowiednimi wersjami występuje podatność na niekontrolowane zużycie zasobów, prowadząca do nadmiernej alokacji i zalewania. Podatność dotyczy pliku lib/ssh/src/ssh_sftpd.erl.

Moduł ssh_sftp w Erlang OTP przed wersjami OTP 28.0.3, 27.3.4.3 i 26.2.5.15 nie ogranicza alokacji zasobów, co pozwala na nadmierną alokację i wyciek zasobów. Podatność dotyczy pliku lib/ssh/src/ssh_sftpd.erl.

Moduł ssh_sftp w Erlang OTP przed wersjami OTP 28.0.3, 27.3.4.3 i 26.2.5.15 nie ogranicza alokacji zasobów, co pozwala na nadmierną alokację i wyciek zasobów. Podatność dotyczy pliku lib/ssh/src/ssh_sftpd.erl.