CVE-2026-66835 in OTP
요약
\~에 의해 VulDB • 2026. 09. 01.
Erlang/OTP의 inets httpd에서 Path Equivalence 취약점이 발견되어, 공격자가 요청 경로 앞에 추가적인 슬래시를 붙여 mod_auth로 보호된 디렉토리 내부의 파일을 인증 없이 읽을 수 있습니다.
httpd_request:validate_uri/1 함수는 uri_string:normalize/1를 사용하여 요청 URI를 정규화합니다. 이 과정은 RFC 3986에 따른 dot-segment 제거를 수행하지만 빈 경로 세그먼트(empty path segments)는 병합하지 않으므로, 연속된 두 개의 슬래시(//)가 그대로 유지됩니다. 이후 mod_alias:real_name/3 함수가 문서 루트(document root)와 해당 URI를 연결하고, mod_auth:secret_path/3 함수는 구성된 디렉토리 경로를 고정되지 않은(regular expression without anchors) 정규 표현식으로 사용하여 결과가 보호된 디렉토리 블록 내에 있는지 여부를 판단합니다. 그러나 연속된 두 개의 슬래시는 정규 표현식이 필요로 하는 연속 부분 문자열(contiguous substring)을 무효화하므로, 요청이 보호되지 않은 것으로 처리되어 인증 도전(authentication challenge)이 발생하지 않습니다.与此同时, mod_get은 동일한 경로를 열고 운영 체제가 연속된 두 개의 슬래시를 병합하여 보호된 파일을 반환합니다. 이러한 경로 불일치는 또한 mod_security의 경로별 계정 관리(per-path accounting)를 우회합니다.
본 이슈는 OTP 17.0 미만부터 OTP 27.3.4.17 이전 버전, OTP 28.0 미만부터 OTP 28.5.0.6 이전 버전, 그리고 OTP 29.0 미만부터 OTP 29.0.6 이전 버전에 영향을 미칩니다. 이는 각각 inets의 5.10 미만에서 9.3.2.7 이전, 9.4 미만에서 9.6.2.3 이전, 및 9.7 미만에서 9.7.2 이전에 해당합니다. OTP 17.0 미만의 경우(inets 5.10 미만) 영향을 받는지 여부는 알려지지 않았습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.