CVE-2026-115693
Açıklama
benoitc hackney içerisindeki hackney_ssl'de bulunan Hatalı Sertifika Doğrulaması zafiyeti, ağ yolu üzerindeki bir saldırganın, halka açık olarak güvenilen bir kök ile sona eren bir sertifika zinciri aracılığıyla özel bir sertifika yetkilisine sabitlenmiş bir sunucuyu taklit etmesine olanak tanır. hackney, her verify_peer yapılandırmasına {partial_chain, fun hackney_ssl:partial_chain/1} ekler. Geri çağırma işlemi, eş zincirindeki genel anahtarı paketli certifi deposundaki bir kökle eşleşen herhangi bir sertifikayı güven çıpası olarak döndürür ve OTP bu geri çağırmaya yapılandırılmış cacerts'den daha fazla öncelik verir. hackney_ssl:merge_ssl_opts/3, çağırıcı ssl_options içindeki güven deposunu cacerts veya cacertfile ile değiştirdiğinde geri çağırmayı koruduğu için, özel bir CA'ya sabitlenmiş bir bağlantı hala halka açık olarak güvenilen bir kök taşıyan herhangi bir zinciri kabul eder. Ana bilgisayar adı kontrolü hala geçerlidir, bu nedenle saldırganın sabitlenmiş ana bilgisayar adı için halka açık olarak güvenilen bir sertifikaya ihtiyacı vardır. Bu sorun hackney'in 1.24.0 sürümünden 4.9.0 öncesine kadar olan sürümlerini etkilemektedir.
Nasıl düzeltilir
- benoitc hackney4.9.0, 915eb5737e9c489d8fc22eec8cdae30e9b027be4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| benoitc hackney | 1.24.0 ≤ v < 4.9.0, d8a9afcf5c3849904274e2eba1df56c63d1a1a0c ≤ v < 915eb5737e9c489d8fc22eec8cdae30e9b027be4 | 4.9.0, 915eb5737e9c489d8fc22eec8cdae30e9b027be4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.