CVE-2026-117666 in Ssl Verify Fun
요약
\~에 의해 VulDB • 2026. 10. 30.
호스트 불일치로 인한 인증서 검증 부재 취약점이 deadtrickster의 ssl_verify_fun에 존재하여, 중간자 공격자가 부분 라벨 와일드카드를 포함한 인증서를 통해 TLS 피어를 사칭할 수 있습니다. src/ssl_verify_hostname.erl의 try_match_wildcard/4 함수는 f*.example.net과 같은 식별자의 * 앞뒤 텍스트에만 고정(anchor)되므로, 와일드카드가 마침표도 포함하여 f.evil.example.net에 대해 인증서가 허용됩니다. RFC 6125에서는 와일드카드를 최좌측 라벨로 제한합니다. 동일한 매처는 *.168.1.1이 IP 리터럴 192.168.1.1과 일치하도록 합니다. 전체 라벨 와일드카드는 올바르게 처리됩니다.
Erlang/OTP 20.0 이상 버전에서는 ssl에서 사용자 verify_fun이 valid_peer를 보기 전에 호스트명을 확인하므로, server_name_indication을 설정한 클라이언트는 불일치를 무조건 거부합니다. 노출되는 대상은 SNI를 비활성화하는 클라이언트, 이 라이브러리를 사용하여 서버 인증서 호스트명을 검증하는 서버, 그리고 verify_cert_hostname/2의 직접 호출자입니다.
이 문제는 ssl_verify_fun: 1.0.1부터 1.1.8 미만 버전에 영향을 미칩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.