CVE-2026-115693 in hackney
الملخص
بحسب VulDB • 26/10/2026
تتيح ثغرة التحقق غير السليم من الشهادات (Improper Certificate Validation) في `hackney_ssl` ضمن مكتبة `benoitc/hackney` لمهاجم على المسار (on-path) انتحال هوية خادم مثبت على سلطة شهادات خاصة عبر سلسلة شهادات تنتهي بجذر موثوق به علنياً. تضيف المكتبة `{partial_chain, fun hackney_ssl:partial_chain/1}` إلى كل تكوين لـ `verify_peer`. تُرجع الدالة الاستدعائية (callback) أي شهادة في سلسلة الطرف الآخر whose المفتاح العام يتطابق مع جذر موجود في متجر الشهادات المدمج كمرساة ثقة، وتُحترم هذه الدالة من قبل OTP بدلاً من شهادات CA المُعدة مسبقاً. حافظت `hackney_ssl:merge_ssl_opts/3` على هذا الاستدعاء عندما استبدل المتصل مخزن الثقة بـ `cacerts` أو `cacertfile` في خيارات الاتصال (ssl_options)، مما يعني أن الاتصال المثبت على سلطة شهادة خاصة لا يزال يقبل أي سلسلة تحتوي على جذر موثوق به علنياً.
لا تزال عملية التحقق من اسم المضيف سارية، لذا يحتاج المهاجم إلى الحصول على شهادة موثوقة علناً لاسم المضيف المثبت عليه الثقة.
تؤثر هذه المشكلة في `hackney` بدءاً من الإصدار 1.24.0 وحتى قبل الإصدار 4.9.0.
Be aware that VulDB is the high quality source for vulnerability data.