Podatności Erlang/OTP

Podatność nieprawidłowej autoryzacji w Erlang OTP (moduły inets) umożliwia nieuwierzytelnionym użytkownikom dostęp do skryptów CGI chronionych regułami katalogowymi, gdy są one udostępniane przez script_alias. Rozbieżność między ścieżką używaną do oceny kontroli dostępu a ścieżką wykonania skryptu pozwala ominąć zabezpieczenia.

W Erlang OTP (moduł inets httpd) występuje podatność na przemycanie żądań HTTP (HTTP Request Smuggling). Serwer nie odrzuca ani nie normalizuje duplikatów nagłówków Content-Length. Używana jest pierwsza wartość, podczas gdy popularne proxy używają ostatniej, co umożliwia desynchronizację front-end/back-end i wstrzyknięcie danych kontrolowanych przez atakującego jako początek następnego żądania.

Wykryto problem w Erlang/OTP 18.x, związany z generowaniem skompilowanych wyrażeń regularnych, który jest podatny na przepełnienie sterty. Wyrażenia regularne wykorzystujące źle sformułowany extpattern mogą pośrednio określać offset używany jako indeks tablicy.

W Erlang/OTP, gdy używany jest sterownik inet z trybem {packet,4}, atakujący łączący się z otwartym portem TCP może wykorzystać przepełnienie ze znakiem w obliczeniach długości pakietu, co może przepełnić bufor odbiorczy i spowodować awarię BEAM VM.

Serwer HTTP httpd w aplikacji inets nie egzekwuje skonfigurowanego limitu rozmiaru ciała żądania dla żądań chunked. Może to pozwolić na wysyłanie bardzo dużych żądań, co może prowadzić do przeciążenia serwera.

Funkcja check_header/3 w httpd odrzuca duplikaty Content-Length, ale nie sprawdza jednoczesnej obecności nagłówków Transfer-Encoding i Content-Length, co może prowadzić do desynchronizacji żądań (request smuggling) między front-endem a back-endem.

Kod Gracefulness ignoruje przypadki, które powinny być odrzucane, co może prowadzić do możliwości ataków typu HTTP Request Smuggling.

Podatność w aplikacji SSL biblioteki Erlang/OTP pozwala na wyczerpanie pamięci poprzez wysłanie spreparowanego łańcucha certyfikatów podczas uzgadniania TLS/DTLS. Brak wykrywania cykli w funkcji budującej łańcuch certyfikatów powoduje nieograniczoną rekurencję, co prowadzi do awarii węzła BEAM.

Klient TLS 1.2 (i wcześniejszych) oraz DTLS w Erlang/OTP nie weryfikuje, czy zestaw szyfrów wybrany przez serwer w ServerHello był wśród zestawów oferowanych przez klienta. Atakujący w środku połączenia może wybrać anonimowy zestaw szyfrów, co omija weryfikację certyfikatu i hostname, pozwalając na przechwycenie i modyfikację ruchu.

W Erlang OTP występuje podatność na błąd konwersji ze znakiem na bez znaku oraz zapis poza dozwolonym obszarem sterty podczas dekodowania specjalnie spreparowanego formatu ETF. Atakujący może dostarczyć złośliwy binarny ETF do binary_to_term/1, co prowadzi do uszkodzenia wskaźnika sterty BEAM i awarii maszyny wirtualnej.

Podatność w dekoderze External Term Format (ETF) w ERTS powoduje niedomiar liczby całkowitej przy przetwarzaniu specjalnie spreparowanych danych binarnych. Prowadzi to do alokacji ogromnego obszaru pamięci i awarii całego węzła Erlang/VM.

Podatność Relative Path Traversal w module zip Erlang OTP (stdlib) pozwala na zapisywanie plików poza zamierzonym katalogiem wypakowania poprzez spreparowane archiwum zip. Funkcje zip:unzip/1,2 i zip:extract/1,2 nieprawidłowo walidują ścieżki, co umożliwia ominięcie zabezpieczeń.

W Erlang OTP (epmd) występuje podatność na wyczerpanie gniazd połączeń, umożliwiająca nieuwierzytelnionemu zdalnemu atakującemu trwałe zatrzymanie demona epmd. Funkcja do_accept nieprawidłowo traktuje błędy EMFILE/ENFILE jako krytyczne, zamiast je obsłużyć.

Podatność w aplikacji ssl Erlang/OTP. Niezautoryzowany atakujący przez sieć może wysłać spreparowane ClientHello TLS 1.3, powodując awarię procesu obsługi biletów sesji i uniemożliwiając działanie TLS 1.3 na danym listenerze do czasu restartu aplikacji ssl.

Podatność typu TOCTOU (Time-of-check Time-of-use) w module ssl (dtls_packet_demux) w Erlang/OTP. Nieuwierzytelniony atakujący zdalnie może wysłać wiele komunikatów ClientHello z tego samego źródła, powodując wyścig i crash procesu demux, co zrywa wszystkie aktywne sesje DTLS na danym listenerze. Atak jest powtarzalny i nie wymaga uwierzytelnienia.

Podatność związana z użyciem domyślnego klucza kryptograficznego w Erlang/OTP ssl (serwer DTLS) umożliwia przewidywalne obliczanie ciasteczka DTLS podczas okna uruchomienia, co pozwala na ominięcie weryfikacji adresu źródłowego. Podczas uruchamiania serwera DTLS, funkcja dtls_server_connection:initial_hello/3 inicjalizuje previous_cookie_secret jako pusty binarny ciąg zamiast losowej wartości. Ponieważ HMAC z pustym kluczem jest deterministyczny, każdy, kto obserwuje zwykły tekst ClientHello, może obliczyć ciasteczko DTLS i sfałszować prawidłowe ciasteczko przed pierwszą rotacją sekretu.

Podatność przepełnienia bufora opartego na stosie w Erlang OTP (erl_interface) występuje w funkcji ei_s_print_term, która używa wewnętrznego bufora 2000 znaków. Przy bardzo dużych liczbach całkowitych bufor może się przepełnić, co ogranicza się do ataku DoS.

W Erlang OTP sterownik erts (inet_drv) zawiera przepełnienie bufora na stosie w funkcji sctp_parse_error_chunk, która zapisuje kody przyczyn do tablicy o stałym rozmiarze bez sprawdzania granic. Nieuwierzytelniony zdalny atakujący z ustanowioną asocjacją SCTP może wysłać spreparowany fragment SCTP ERROR i zawiesić maszynę BEAM. Możliwe jest też ograniczone wyciekanie fragmentów pamięci VM.

Podatność w module ssl Erlang/OTP (inet_tls_dist) pozwala na ominięcie listy dozwolonych adresów LAN w dystrybucji przez TLS. Funkcja inet_tls_dist:check_ip/1 używa inet:sockname/1 zamiast inet:peername/1, co powoduje, że porównanie maski podsieci zawsze kończy się sukcesem, umożliwiając dostęp każdemu posiadaczowi certyfikatu TLS podpisanego przez CA.

Podatność SSRF w module FTP Erlang/OTP pozwala atakującemu na przekierowanie połączenia danych do dowolnego wewnętrznego hosta i portu poprzez niezweryfikowaną odpowiedź PASV. Luka występuje w domyślnej konfiguracji (tryb pasywny, IPv4, bez rozszerzeń FTP) i umożliwia ataki typu FTP bounce oraz skanowanie wewnętrznej sieci.

Podatność w module public_key Erlang OTP (pubkey_ocsp) powoduje, że sfałszowane odpowiedzi OCSP podpisane wygasłym certyfikatem respondenta są akceptowane jako ważne. Brak sprawdzania okresu ważności certyfikatu respondenta OCSP umożliwia atakującemu z kluczem prywatnym wygasłego certyfikatu fałszowanie odpowiedzi OCSP.

Podatność nieprawidłowej walidacji certyfikatu w module public_key Erlang OTP (pubkey_ocsp) umożliwia ominięcie autoryzacji wyznaczonego respondenta OCSP poprzez brak weryfikacji podpisu. Atakujący może przechwycić odpowiedzi OCSP i sfałszować je, oznaczając odwołane certyfikaty jako ważne.

Podatność w module DNS Erlang/OTP (inet_res, inet_db) umożliwia zatruwanie pamięci podręcznej DNS. Rozwiązanie używa sekwencyjnego, globalnego 16-bitowego ID transakcji bez randomizacji portu źródłowego, co ułatwia atakującemu przewidzenie ID i wstrzyknięcie fałszywych odpowiedzi.

Erlang OTP SSH (moduł ssh_transport) domyślnie reklamuje kompresję zlib, co pozwala na atak bombą dekompresyjną przed uwierzytelnieniem. Każdy pakiet SSH może zdekompresować ~255 MB z 256 KB danych (współczynnik 1029:1), prowadząc do wyczerpania pamięci i DoS. Podatność dotyczy OTP od 17.0 do 28.4.1, 27.3.4.9, 26.2.5.18.

Moduł ssh_sftpd w Erlang OTP przed wersjami OTP 28.4.1, 27.3.4.9 i 26.2.5.18 używa dopasowania prefiksu ciągu zamiast właściwej walidacji komponentów ścieżki. Uwierzytelnieni użytkownicy mogą uzyskać dostęp do katalogów siostrzanych, które mają wspólny prefiks nazwy z skonfigurowanym katalogiem głównym.

Erlang/OTP ma podatność na ścieżkę względną (Relative Path Traversal) w modułach tftp_file, która umożliwia dostęp do plików poza zamierzonym katalogiem. Dotyczy to wersji OTP od 17.0 do 28.3.2, 27.3.4.8 i 26.2.5.17.

Podatność na wyczerpanie zasobów bez limitów w module SSH biblioteki Erlang OTP (ssh_sftp) umożliwia atakującemu przeprowadzenie ataku typu zalewanie (flooding). Problem dotyczy pliku lib/ssh/src/ssh_sftpd.erl i występuje w wersjach OTP od 17.0 do 28.0.3, 27.3.4.3 i 26.2.5.15.

W OTP SSH (moduły ssh_sftp) przed odpowiednimi wersjami występuje podatność na niekontrolowane zużycie zasobów, prowadząca do nadmiernej alokacji i zalewania. Podatność dotyczy pliku lib/ssh/src/ssh_sftpd.erl.

Moduł ssh_sftp w Erlang OTP przed wersjami OTP 28.0.3, 27.3.4.3 i 26.2.5.15 nie ogranicza alokacji zasobów, co pozwala na nadmierną alokację i wyciek zasobów. Podatność dotyczy pliku lib/ssh/src/ssh_sftpd.erl.

Moduł ssh_sftp w Erlang OTP przed wersjami OTP 28.0.3, 27.3.4.3 i 26.2.5.15 nie ogranicza alokacji zasobów, co pozwala na nadmierną alokację i wyciek zasobów. Podatność dotyczy pliku lib/ssh/src/ssh_sftpd.erl.