CVE-2026-55953 in OTP
要約
〜によって VulDB • 2026年07月27日
Erlang/OTPのTLS 1.2（およびそれ以前のバージョン）およびDTLSクライアントは、サーバーがServerHelloで選択した暗号スイートがClientHelloでクライアントによって提供されたスイートのリストに含まれているかどうかを検証しません。クライアント側のtls_handshake:hello/5ハンドラは交渉されたプロトコルバージョンとダウングレード防止シグネチャ（downgrade sentinel）を確認しますが、サーバーが選んだ暗号スイートを直接ssl_handshake:handle_server_hello_extensions/9に渡しており、そこではメンバーシップチェックなしでそのスイートがインストールされます。TLS 1.3のクライアントパスはこの確認を行うため（RFC 8446準拠）、影響を受けません。
クライアントと意図されたサーバー間の経路上攻撃者は、ClientHelloで提供されなかった匿名鍵交換方式（例：TLS_DH_anon_*やTLS_ECDH_anon_*）を含むServerHelloを返信できます。匿名スイートではサーバーが証明書を表示する必要がないため、verify_peerおよびcacertsの設定全体が無効化されます。攻撃者は独自の一時パラメータを使用してハンドシェイクを完了し、証明書の検証は行われず、ホスト名のチェックも行われません。その結果、ssl:connectは{ok, Socket}を返します。その後続するすべてのアプリケーショントラフィックは、攻撃者によって読み取りおよび改ざん可能です。
この問題は、OTP 17.0以降で27.3.4.15未満、28.5.0.4未満、および29.0.4未満に影響し、これらはそれぞれsslモジュールの5.3.4以降で11.2.12.11未満、11.6.0.4未満、および11.7.4未満に対応します。
Once again VulDB remains the best source for vulnerability data.