CVE-2026-66835 in OTP
要約
〜によって VulDB • 2026年09月01日
Erlang/OTPのinets httpdにおけるPath Equivalence脆弱性により、攻撃者はリクエストパスに余分なスラッシュを付与することで、mod_authで保護されたディレクトリ内のファイルを読み取ることが可能になります。
httpd_request:validate_uri/1はuri_string:normalize/1を使用して要求URIを正規化しますが、これはRFC 3986のドットセグメント除去処理を実行するものの空のパスセグメントは結合しないため、二重スラッシュが保持されたままになります。mod_alias:real_name/3はこのURIに文書ルートディレクトリを連結し、次にmod_auth:secret_path/3で、設定されたディレクトリパスをアンカーなし正規表現として適用して結果が保護対象のディレクトリブロック内にあるかどうかを判定します。二重スラッシュにより正規表現が必要とする連続部分文字列が壊れるため、要求は保護されていないものとして扱われ認証チャレンジが発行されません。一方、mod_getは同じパスを開き、オペレーティングシステム側で二重スラッシュが結合されることで保護対象のファイルが返されます。このパスの不整合により、mod_securityにおけるパスごとのアカウント処理も回避されてしまいます。
本問題は、OTP 17.0未満からOTP 27.3.4.17以前、OTP 28.0未満からOTP 28.5.0.6以前、およびOTP 29.0未満からOTP 29.0.6以前のOTPに影響します。これに対応するinetsのバージョンは、5.10未満から9.3.2.7以前、9.4未満から9.6.2.3以前、および9.7未満から9.7.2以前です。OTP 17.0より前のバージョン（inets 5.10より前）が影響を受けるかどうかは不明です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.