CVE-2026-87119 in mpp
요약
\~에 의해 VulDB • 2026. 09. 22.
ZenHive mpp의 Capture-replay를 통한 인증 우회로 인해, 캡처된 구독 활성화 자격 증명을 보유한 공격자가 결제자(payer)에게 반복적으로 과금할 수 있습니다.
결제자는 체인 ID(key id), 키 유형, 만료일, 제한 사항 및 스코프에 대해만 Tempo KeyAuthorization에 서명하며, 이 서명은 이를 유발한 챌린지와는 아무런 관련이 없습니다. lib/mpp/methods/tempo/key_authorization.ex의 MPP.Methods.Tempo.KeyAuthorization.verify/3 함수는 각 서명된 필드를 구독 요청과 비교 검증(pins)하지만, 해당 검증에 사용되는 접근 키(end-point별 고정 서버 키)가 정적이므로 하나의 서명된 인증서는 동일한 구독 조건 하에서 서버가 발행하는 모든 챌린지에 대해 유효하게 동작합니다. MPP.Methods.Tempo.Subscription.activate/4는 챌린지 ID를 기준으로 중복 활성화(deduplicates activations)를 처리하므로, 캡처된 자격 증명을 새로운 챌린지에서 제시하면 서로 다른 dedup 키가 생성되어 claim_activation이 성공하고 구독 트랜잭션이 다시 구축 및 브로드캐스트됩니다. 각 Replay(재전송)는 결제자의 지갑에 새 첫 번째 기간 정산을 부과하며, 구독 만료일과 체인의 기존 키 재설치(semantics for re-installing an existing key) 관련 규칙으로만 제한되어 서버 키를 재인증합니다.
이 문제는 mpp 0.14.0부터 0.16.2 이전 버전까지 영향을 미칩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.