Podatności Erlang OTP public_key
3 znanych podatności CVE w Erlang OTP public_key, przetłumaczonych i ocenionych.
- CVE-2026-59251Wysokie
W bibliotece public_key w Erlang/OTP wykryto podatność polegającą na nieograniczonym przydzielaniu zasobów podczas walidacji ścieżki certyfikatu X.509. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowany łańcuch certyfikatów podczas uzgadniania TLS, co prowadzi do przeciążenia harmonogramów BEAM i wyczerpania pamięci węzła, powodując odmowę usługi (DoS). Problem dotyczy funkcji pubkey_policy_tree:add_leaves/2 i pubkey_policy_tree:add_leaf_siblings/2, które rozwijają drzewo polityki certyfikatów bez ograniczeń.
- CVE-2026-42790Wysokie
W bibliotece public_key Erlang OTP wykryto podatność polegającą na nieprawidłowej walidacji certyfikatów. Dwa błędy umożliwiają pominięcie ograniczeń DNS nameConstraints poprzez użycie nazwy pospolitej (commonName) w certyfikacie liścia, co pozwala atakującemu na podszycie się pod dowolny host.
- CVE-2026-42789Średnie
W bibliotece public_key Erlang OTP wykryto podatność polegającą na nieprawidłowym śledzeniu łańcucha zaufania certyfikatów. Moduł pubkey_cert błędnie akceptuje certyfikat niebędący CA (z basicConstraints cA:false i bez rozszerzenia keyUsage) jako pośredniego wystawcę, co umożliwia fałszowanie łańcucha certyfikatów. Problem dotyczy wersji OTP od 17.0 do 29.0.1, 28.5.0.1, 27.3.4.12 i 26.2.5.21.