CVE-2026-55953 in OTP
Sumário
de VulDB • 27/07/2026
O cliente TLS 1.2 (e versões anteriores) e DTLS do Erlang/OTP ssl não verifica se a suite de criptografia selecionada pelo servidor no ServerHello estava entre as suites oferecidas pelo cliente no ClientHello. O manipulador tls_handshake:hello/5 do lado do cliente valida a versão do protocolo negociado e o sentinel de downgrade, mas passa diretamente ao ssl_handshake:handle_server_hello_extensions/9 a suite escolhida pelo servidor, que a instala sem uma verificação de pertinência (membership check). A rota do cliente TLS 1.3 realiza esta verificação (conforme RFC 8446), portanto não é afetada.
Um atacante on-path entre o cliente e o servidor pretendido pode responder com um ServerHello selecionando uma suite de troca de chaves anônima, como TLS_DH_anon_* ou TLS_ECDH_anon_*, que o cliente nunca ofereceu. As suites anônimas não exigem que o servidor apresente um certificado; portanto, toda a configuração verify_peer e cacerts é contornada: o atacante conclui o handshake com seus próprios parâmetros efêmeros, nenhum certificado é validado, nenhum nome de host é verificado e ssl:connect retorna {ok, Socket}. Todo o tráfego da aplicação subsequente pode ser lido e modificado pelo atacante.
Este problema afeta OTP a partir da versão 17.0 até antes das versões 27.3.4.15, 28.5.0.4 e 29.0.4, correspondentes ao ssl desde a versão 5.3.4 até antes das versões 11.2.12.11, 11.6.0.4 e 11.7.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.