CVE-2026-28808
Təsvir
Erlang OTP (inets modulları) tərkibindəki yanlış avtorizasiya zəifliyi, script_alias vasitəsilə təqdim edilən və kataloq qaydaları ilə qorunan CGI skriptlərinə autentifikasiyasız girişə imkan verir. script_alias bir URL prefiksini DocumentRoot-dan kənarda olan kataloqa yönləndirdikdə, mod_auth kataloq əsaslı giriş nəzarətini DocumentRoot-a nisbətən yola görə qiymətləndirir, mod_cgi isə skripti ScriptAlias tərəfindən müəyyən edilmiş yolda icra edir. Yollar arasındakı bu uyğunsuzluq, kataloq qaydalarının qorumalı olduğu CGI skriptlərinə autentifikasiyasız girişi mümkün edir. Bu zəiflik lib/inets/src/http_server/mod_alias.erl, lib/inets/src/http_server/mod_auth.erl və lib/inets/src/http_server/mod_cgi.erl proqram faylları ilə bağlıdır. Bu problem OTP 17.0 versiyasından başlayaraq OTP 26.2.5.19, OTP 27.3.4.10 və OTP 28.4.2 versiyalarından əvvəlki versiyalara, müvafiq olaraq inets 5.10 versiyasından başlayaraq 9.1.0.6, 9.3.2.4 və 9.6.2 versiyalarından əvvəlki versiyalara təsir göstərir. OTP 17.0-dan əvvəlki versiyaların (müvafiq olaraq inets 5.10-dan əvvəlki versiyaların) təsirlənib-təsirlənmədiyi məlum deyil.
Necə düzəltmək olar
- erlang erlang\/inets9.1.0.6, 9.3.2.4, 9.6.2 və ya daha yeni versiya
- erlang erlang\/otp26.2.5.19, 27.3.4.10, 28.4.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| erlang erlang\/inets | 5.10 ≤ v < 9.1.0.6, 9.2 < v < 9.3.2.4, 9.4 < v < 9.6.2 | 9.1.0.6, 9.3.2.4, 9.6.2 |
| erlang erlang\/otp | 17.0 ≤ v < 26.2.5.19, 27.0 ≤ v < 27.3.4.10, 28.0 ≤ v < 28.4.2 | 26.2.5.19, 27.3.4.10, 28.4.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.