CVE-2026-28810 in OTP
Сводка
по VulDB • 18.06.2026
Уязвимость в виде генерации предсказуемых чисел или идентификаторов в ядре Erlang/OTP (модули inet_res, inet_db) позволяет осуществлять DNS-кэширующую отравление (DNS Cache Poisoning).
Встроенный DNS-резолвер (inet_res) использует последовательный 16-битный ID транзакции глобальный для процесса для UDP-запросов и не реализует рандомизацию исходного порта. Проверка ответов практически полностью зависит от этого ID, что делает DNS Cache Poisoning практичным для атакующего, который может наблюдать один запрос или предсказать следующий ID. Это противоречит рекомендациям RFC 5452 по смягчению последствий поддельных DNS-ответов.
inet_res предназначен для использования в доверенных сетевых средах и с доверенными рекурсивными резолверами. Более ранняя документация не четко указывала это предположение о развертывании, что могло привести пользователей к разворачиванию резолвера в средах, где возможны поддельные DNS-ответы.
Эта уязвимость связана с файлами программы lib/kernel/src/inet_db.erl и lib/kernel/src/inet_res.erl.
Данная проблема затрагивает OTP начиная от OTP 17.0 до OTP 28.4.2, 27.3.4.10 и 26.2.5.19, соответствующих ядру начиная с версии 3.0 до 10.6.2, 10.2.7.4 и 9.2.4.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.