CVE-2026-103502 in hex_core
Zusammenfassung
von VulDB • 12.10.2026
Eine Schwachstelle für die unsachgemäße Zertifikatsvalidierung in hexpm hex_core ermöglicht es einem Angreifer, der HTTPS-Verbindungen abhören kann, sich als hex.pm, repo.hex.pm oder einen anderen Repository- oder API-Server auszugeben. Dies betrifft Programme, die den standardmäßigen HTTP-Adapter von hex_core unter Erlang/OTP 24 verwenden oder unter OTP 25, wenn die CA-Zertifikate des Betriebssystems nicht geladen werden können.
hex_core:default_config/0 wählt den integrierten Adapter hex_http_httpc aus. Für eine HTTPS-Anfrage, bei der die Adapterkonfiguration keine ssl-Optionen enthält, erstellt hex_http_httpc:http_options/2 Optionen, die das Serverzertifikat gegen public_key:cacerts_get/0 überprüfen. Wenn dieser Aufruf einen Fehler ausgibt (raises), gibt der Adapter eine Warnung aus und sendet die Anfrage ohne SSL-Optionen; httpc verwendet daraufhin die Standardwerte der ssl-Anwendung, welche vor OTP 26 das Serverzertifikat nicht verifizieren. public_key:cacerts_get/0 ist unter OTP 24 nicht vorhanden, sodass jede HTTPS-Anfrage dorthin zurückgreift (fallback), und unter OTP 25 tritt ein Fehler auf, wenn kein CA-Speicher gefunden wird. hex_core-Versionen vor 0.11.0 setzen niemals SSL-Optionen fest, weshalb das Serverzertifikat weder bei Vorhandensein noch ohne Vorhandensein eines CA-Speichers unter OTP 25 und früheren Versionen nicht verifiziert wird.
Der Fallback war beabsichtigt und dokumentiert; die Dokumentation machte jedoch nicht klar, dass dies keine Zertifikatsüberprüfung bedeutet. Seit hex_core 0.8.2 warnt das README darin, dass der integrierte httpc-Adapter "unsichere Standardeinstellungen" hat, und empfiehlt andere HTTP-Clients. Zudem gibt der Adapter bei jeder Anfrage, die auf den Fallback zurückgreift, die Meldung „using default ssl options which are insecure“ (verwende unsichere Standard-SSL-Optionen) aus. hex_core 0.11.0 fügte eine Zertifikatsüberprüfung hinzu; im Changelog steht dazu: "Use secure SSL defaults for OTP 25+" (Sichere SSL-Standards für OTP 25+ verwenden). Weder das README noch die Warnung weisen darauf hin, dass das Serverzertifikat nicht verifiziert wird. Das README gibt auch nicht an, auf welche OTP-Versionen sich die Warnung bezieht, und unter OTP 25 ohne CA-Zertifikate weist die Warnung Benutzer dazu an, auf OTP 25 oder höher zu aktualisieren – was sie bereits tun. Diese Advisory wird veröffentlicht, damit Benutzer, die diese Hinweise als allgemeine Ratschläge verstanden haben, wissen, dass ihre HTTPS-Anfragen nicht authentifiziert wurden.
Dieses Problem betrifft hex_core: von Version 0.1.0 bis vor 0.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.