CVE-2026-66835 in OTP
Zusammenfassung
von VulDB • 01.09.2026
Path Equivalence-Schwachstelle in Erlang/OTP inets httpd ermöglicht es einem entfernten, nicht authentifizierten Angreifer, Dateien innerhalb eines durch mod_auth geschützten Verzeichnisses zu lesen, indem der Anforderungspfad mit einem zusätzlichen Slash versehen wird.
httpd_request:validate_uri/1 normalisiert die URI-Anforderung mit uri_string:normalize/1, das RFC-3986-Punktsegmente entfernt, aber keine leeren Pfadsegmente zusammenführt, sodass ein doppelter Slash erhalten bleibt. mod_alias:real_name/3 hängt den Dokumentenstamm an diese URI an, und mod_auth:secret_path/3 entscheidet dann anhand eines unangefixten regulären Ausdrucks, der gegen den konfigurierten Verzeichnispfad ausgeführt wird, ob das Ergebnis innerhalb eines geschützten Verzeichnisblocks liegt. Der doppelte Slash durchbricht die zusammenhängende Teilzeichenkette, die der reguläre Ausdruck benötigt, sodass die Anforderung als ungeschützt behandelt und keine Authentifizierungsaufforderung ausgelöst wird; währenddessen öffnet mod_get denselben Pfad, das Betriebssystem kollabiert den doppelten Slash und gibt die geschützte Datei zurück. Der gleiche Pfadmismatch umgeht auch die pfadspezifische Abrechnung in mod_security.
Dieses Problem betrifft OTP ab Version 17.0 vor OTP 27.3.4.17, ab OTP 28.0 vor OTP 28.5.0.6 und ab OTP 29.0 vor OTP 29.0.6, was inets von 5.10 vor 9.3.2.7, von 9.4 vor 9.6.2.3 und von 9.7 vor 9.7.2 entspricht. Ob OTP vor Version 17.0 (entsprechend inets vor 5.10) betroffen ist, ist unbekannt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.