CVE-2026-28808
Açıklama
Erlang OTP (inets modülleri) üzerindeki Hatalı Yetkilendirme zafiyeti, script_alias aracılığıyla sunulan ve dizin kuralları ile korunan CGI betiklerine kimlik doğrulaması yapılmadan erişilmesine izin verir. script_alias bir URL ön ekini DocumentRoot dışındaki bir dizine eşlediğinde, mod_auth dizin tabanlı erişim kontrollerini DocumentRoot'a göre olan yol üzerinden değerlendirirken; mod_cgi, betiği ScriptAlias tarafından çözümlenen yolda çalıştırır. Bu yol uyumsuzluğu, dizin kurallarının korumayı amaçladığı CGI betiklerine kimlik doğrulaması olmadan erişilmesine olanak tanır. Bu zafiyet lib/inets/src/http_server/mod_alias.erl, lib/inets/src/http_server/mod_auth.erl ve lib/inets/src/http_server/mod_cgi.erl program dosyaları ile ilişkilidir. Bu sorun, OTP 17.0'dan başlayarak OTP 26.2.5.19, OTP 27.3.4.10 ve OTP 28.4.2 öncesindeki sürümleri etkilemektedir; bu durum inets'in 5.10 sürümünden başlayarak 9.1.0.6, 9.3.2.4 ve 9.6.2 öncesindeki sürümlerine karşılık gelir. OTP 17.0 öncesindeki sürümlerin (ve buna karşılık gelen inets 5.10 öncesi sürümlerin) etkilenip etkilenmediği bilinmemektedir.
Nasıl düzeltilir
- erlang erlang\/inets9.1.0.6, 9.3.2.4, 9.6.2 ya da sonraki bir sürüm
- erlang erlang\/otp26.2.5.19, 27.3.4.10, 28.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| erlang erlang\/inets | 5.10 ≤ v < 9.1.0.6, 9.2 < v < 9.3.2.4, 9.4 < v < 9.6.2 | 9.1.0.6, 9.3.2.4, 9.6.2 |
| erlang erlang\/otp | 17.0 ≤ v < 26.2.5.19, 27.0 ≤ v < 27.3.4.10, 28.0 ≤ v < 28.4.2 | 26.2.5.19, 27.3.4.10, 28.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.