Клиент Erlang/OTP ssl TLS 1.2 (и более ранних версий) и DTLS не проверяет, находится ли набор шифров, выбранный сервером в ServerHello, среди наборов, предлагаемых клиентом в ClientHello. Обработчик tls_handshake:hello/5 на стороне клиента проверяет согласованную версию протокола и сигнализатор перехода на более раннюю версию, но передает выбранный сервером пакет непосредственно в ssl_handshake:handle_server_hello_extensions/9, который устанавливает его без проверки членства. Путь клиента TLS 1.3 выполняет эту проверку (согласно RFC 8446), поэтому на него не влияет.
Злоумышленник, находящийся на пути между клиентом и предполагаемым сервером, может ответить ServerHello, выбрав пакет анонимного обмена ключами, такой как TLS_DH_anon_* или TLS_ECDH_anon_*, который клиент никогда не предлагал. Анонимные пакеты не требуют от сервера предоставления сертификата, поэтому вся конфигурацияverify_peer иcacerts обходит: злоумышленник завершает рукопожатие со своими собственными эфемерными параметрами, сертификат не проверяется, имя хоста не проверяется, а ssl:connect возвращает {ok, Socket}. Весь последующий трафик приложения доступен для чтения и изменения злоумышленнику.
Эта проблема затрагивает OTP от OTP 17.0 до OTP 29.0.4, OTP 28.5.0.4 и OTP 27.3.4.15, что соответствует SSL от 5.3.4 до 11.7.4, 11.6.0.4 и 11.2.12.11.
Показать оригинальное описание (EN)
The Erlang/OTP ssl TLS 1.2 (and earlier) and DTLS client does not verify that the cipher suite selected by the server in ServerHello was among the suites offered by the client in ClientHello. The client-side tls_handshake:hello/5 handler validates the negotiated protocol version and the downgrade sentinel but hands the server-chosen suite directly to ssl_handshake:handle_server_hello_extensions/9, which installs it without a membership check. The TLS 1.3 client path performs this check (per RFC 8446), so it is not affected. An on-path attacker between the client and the intended server can respond with a ServerHello selecting an anonymous key exchange suite such as TLS_DH_anon_* or TLS_ECDH_anon_* that the client never offered. Anonymous suites do not require the server to present a certificate, so the entire verify_peer and cacerts configuration is bypassed: the attacker completes the handshake with its own ephemeral parameters, no certificate is validated, no hostname is checked, and ssl:connect returns {ok, Socket}. All subsequent application traffic is readable and modifiable by the attacker. This issue affects OTP from OTP R13B03 before OTP 27.3.4.15, from OTP 28.0 before OTP 28.5.0.4, and from OTP 29.0 before OTP 29.0.4, corresponding to ssl from 3.10.7 before 11.2.12.11, from 11.3 before 11.6.0.4, and from 11.7 before 11.7.4. Whether OTP before OTP R13B03, corresponding to ssl before 3.10.7, is affected is unknown.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 6
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Erlang Erlang\/Otp
cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*
|
17.0
|
27.3.4.15
|
|
Erlang Erlang\/Otp
cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*
|
28.0
|
28.5.0.4
|
|
Erlang Erlang\/Otp
cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*
|
29.0
|
29.0.4
|
|
Erlang Erlang\/Ssl
cpe:2.3:a:erlang:erlang\/ssl:*:*:*:*:*:*:*:*
|
5.3.4
|
11.2.12.11
|
|
Erlang Erlang\/Ssl
cpe:2.3:a:erlang:erlang\/ssl:*:*:*:*:*:*:*:*
|
11.3
|
11.6.0.4
|
|
Erlang Erlang\/Ssl
cpe:2.3:a:erlang:erlang\/ssl:*:*:*:*:*:*:*:*
|
11.7
|
11.7.4
|