ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تسمح ثغرة التحقق غير السليم من الشهادة عند عدم تطابق المضيف في deadtrickster ssl_verify_fun للمهاجم في المنتصف بانتحال صفة قرين TLS عبر شهادة تحمل رمز بدل (wildcard) بتسمية جزئية. تقوم الدالة try_match_wildcard/4 في src/ssl_verify_hostname.erl بتثبيت النص فقط قبل وبعد النجمة * لمعرف مثل f*.example.net، ولذلك يستهلك رمز البدل النقط أيضًا وتُقبل الشهادة لـ f.evil.example.net. يحدد RFC 6125 رمز البدل بالتسمية الأكثر يسارًا فقط. يتيح نفس المطابق لـ *.168.1.1 مطابقة عنوان IP الصريح 192.168.1.1. يتم مطابقة رموز البدل التامة للتسمية بشكل صحيح. يتحقق Erlang/OTP 20.0 وما بعده من اسم المضيف في ssl قبل أن ترى verify_fun الخاصة بالمستخدم valid_peer، لذا فإن العميل الذي يبقي server_name_indication مفعلًا يرفض عدم التطابق بغض النظر عن ذلك. العملاء المعرضون هم أولئك الذين يعطلون SNI، والخوادم التي تتحقق من أسماء مضيفي شهادات العملاء باستعمال هذه المكتبة، والمستدعون المباشرون لـ verify_cert_hostname/2. تؤثر هذه المشكلة على ssl_verify_fun: من 1.0.1 وقبل 1.1.8.
المعالجة
المراجع
- تصحيحhttps://github.com/deadtrickster/ssl_verify_fun.erl/pull/33
- تصحيحhttps://github.com/deadtrickster/ssl_verify_fun.erl/commit/ca34031299cd2e0c98794c0da4ba556b94e39aad
- تحذيرhttps://github.com/deadtrickster/ssl_verify_fun.erl/security/advisories/GHSA-7gw2-hphm-c5px
- مرجعhttps://cna.erlef.org/cves/CVE-2026-117666.html
- مرجعhttps://osv.dev/vulnerability/EEF-CVE-2026-117666
- مرجعhttps://github.com/deadtrickster/ssl_verify_fun.erl/commit/a49ca56923356c7a3981692b23c42ef32c2990e0