CVE-2026-115693 in hackney
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle für die unsachgemäße Zertifikatsvalidierung in `hackney_ssl` von benoitc hackney ermöglicht es einem Angreifer im Pfad (on-path), einen Server, der an eine private Zertifizierungsstelle gebunden ist, zu impersonifizieren, indem er eine Zertifikatskette verwendet, die mit einer öffentlich vertrauenswürdigen Root endet. `hackney` fügt jeder `verify_peer`-Konfiguration `{partial_chain, fun hackney_ssl:partial_chain/1}` hinzu. Der Callback gibt jedes Zertifikat in der Peer-Kette zurück, dessen öffentlicher Schlüssel mit einem Root im eingebetteten certifi-Speicher übereinstimmt, als Vertrauensanker (trust anchor), und OTP berücksichtigt diesen Callback vor den konfigurierten cacerts. `hackney_ssl:merge_ssl_opts/3` behielt den Callback bei, wenn der Aufrufer den Trust-Store durch cacerts oder cacertfile in ssl_options ersetzte, sodass eine Verbindung, die an eine private CA gebunden ist, weiterhin jede Kette akzeptierte, die einen öffentlich vertrauenswürdigen Root enthielt.
Die Hostname-Prüfung gilt weiterhin, daher benötigt der Angreifer ein öffentlich vertrauenswürdiges Zertifikat für den gehosteten Hostnamen (pinned hostname).
Dieses Problem betrifft hackney: von Version 1.24.0 bis vor 4.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.