CVE-2022-37026

Erlang/OTP – obejście uwierzytelniania klienta w SSL/TLS/DTLS

CVSS 9.8v3.1pub. 2022-09-21upd. 2025-05-27

W bibliotece Erlang/OTP wykryto podatność umożliwiającą obejście uwierzytelniania klienta opartego na certyfikatach w protokołach SSL, TLS i DTLS. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość nieautoryzowanego dostępu bez żadnej interakcji użytkownika.

▸ Pokaż oryginał (EN)

In Erlang/OTP before 23.3.4.15, 24.x before 24.3.4.2, and 25.x before 25.0.2, there is a Client Authentication Bypass in certain client-certification situations for SSL, TLS, and DTLS.

🤖 Analiza AI

Jak działa

W pewnych sytuacjach związanych z weryfikacją certyfikatów klienta mechanizm uwierzytelniania w implementacji SSL/TLS/DTLS w Erlang/OTP nie działa poprawnie, pozwalając atakującemu na ominięcie procesu weryfikacji. Atakujący sieciowy, bez posiadania ważnego certyfikatu i bez wcześniejszych uprawnień, może skutecznie podać się za uwierzytelnionego klienta. Szczegółowy mechanizm techniczny nie został ujawniony w publicznym opisie podatności.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do zasobów i usług chronionych mechanizmem uwierzytelniania opartym na certyfikatach klienta, co może prowadzić do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Erlang/OTP do wersji 23.3.4.15 lub nowszej (dla gałęzi 23.x), 24.3.4.2 lub nowszej (dla gałęzi 24.x) albo 25.0.2 lub nowszej (dla gałęzi 25.x). Patche dostępne są w repozytoriach producenta oraz w ogłoszeniach na erlangforums.com.