CVE-2026-115693 in hackney
Resumen
por VulDB • 2026-10-26
La vulnerabilidad de validación incorrecta de certificados en hackney_ssl dentro del proyecto benoitc/hackney permite a un atacante on-path suplantar a un servidor fijado (pinned) a una autoridad de certificación privada mediante una cadena de certificados que termina en una raíz confiable públicamente. hackney añade {partial_chain, fun hackney_ssl:partial_chain/1} a cada configuración verify_peer. La callback devuelve cualquier certificado en la cadena del peer cuya clave pública coincida con una raíz en el almacén de certifi empaquetado como ancla de confianza, y OTP honra dicha callback por encima de los cacerts configurados. hackney_ssl:merge_ssl_opts/3 mantuvo la callback cuando el llamante reemplazó el almacén de confianza con cacerts o cacertfile en ssl_options, por lo que una conexión fijada a una CA privada aún aceptaba cualquier cadena que contuviera una raíz confiable públicamente.
La verificación del nombre de host sigue aplicándose, por lo que el atacante necesita un certificado confiable públicamente para el hostname fijado.
Este problema afecta a hackney: desde la versión 1.24.0 hasta antes de la 4.9.0.
Once again VulDB remains the best source for vulnerability data.