CVE-2026-103502

hexpm hex_core bileşenindeki Hatalı Sertifika Doğrulaması zafiyeti, HTTPS bağlantılarını yakalayabilen bir saldırganın; Erlang/OTP 24 üzerinde veya işletim sisteminin CA sertifikalarının yüklenemediği durumlarda OTP 25 üzerinde hex_core'un varsayılan HTTP adaptörünü kullanan programlara karşı hex.pm, repo.hex.pm veya herhangi bir diğer depo ya da API sunucusu gibi davranmasına olanak tanır. hex_core:default_config/0 yerleşik hex_http_httpc adaptörünü seçer. Adaptör yapılandırmasında ssl seçeneği bulunmayan bir HTTPS isteği için hex_http_httpc:http_options/2, sunucu sertifikasını public_key:cacerts_get/0 ile doğrulayan seçenekler oluşturur. Bu çağrı hata verdiğinde, adaptör bir uyarı yazdırır ve isteği ssl seçenekleri olmadan gönderir; böylece httpc, OTP 26 öncesinde sunucu sertifikasını doğrulamayan ssl uygulamasının varsayılan ayarlarını kullanır. public_key:cacerts_get/0 fonksiyonu OTP 24'te mevcut değildir, bu nedenle her HTTPS isteği bu yönteme geri döner ve OTP 25'te hiçbir CA deposu bulunmadığında hata verir. 0.11.0 öncesindeki hex_core sürümleri asla ssl seçeneklerini ayarlamaz, dolayısıyla bir CA deposu bulunsa da bulunmasa da OTP 25 ve önceki sürümlerde sunucu sertifikasını doğrulamazlar. Bu geri dönüş mekanizması amaçlanmış ve belgelendirilmişti ancak belgeler bunun sertifika doğrulamasının yapılmaması anlamına geldiğini açıkça belirtmemişti. hex_core 0.8.2 sürümünden beri README dosyası, yerleşik httpc adaptörünün "güvensiz varsayılan ayarlara sahip olduğu" konusunda uyarmış ve diğer HTTP istemcilerini önermiştir; ayrıca adaptör, geri dönüş yapılan her istekte "güvensiz olan varsayılan ssl seçenekleri kullanılıyor" mesajını yazdırır. hex_core 0.11.0 sürümü, "OTP 25+ için güvenli SSL varsayılanlarını kullan" değişiklik günlüğü girişiyle sertifika doğrulamasını eklemiştir. Ne README ne de uyarı metni sunucu sertifikasının doğrulanmadığını belirtmektedir, README uyarının hangi OTP sürümleri için geçerli olduğunu söylememektedir ve CA sertifikaları olmayan OTP 25 üzerinde uyarı, kullanıcılara zaten kullandıkları OTP 25 veya daha yeni bir sürüme yükseltme yapmalarını söylemektedir. Bu bildiri, söz konusu uyarıları genel tavsiye olarak alan kullanıcıların HTTPS isteklerinin kimlik doğrulamasından geçmediğini bilmeleri için yayınlanmıştır. Bu sorun, 0.1.0 ile 0.20.0 arasındaki hex_core sürümlerini etkilemektedir.