Высокий

Патч

Опубликована

CVE-2026-42789

Non-CA certificate accepted as intermediate issuer in public_key path validation

Публикация: 27.05.2026·Обновлена: 14.10.2026, 19:55·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Improper Following of a Certificate's Chain of Trust vulnerability in Erlang OTP public_key (pubkey_cert module) allows a non-CA certificate to be accepted as an intermediate issuer, enabling certificate chain forgery. In lib/public_key/src/pubkey_cert.erl, pubkey_cert:validate_extensions/7 contains two flaws that together allow a certificate with basicConstraints cA:false and no keyUsage extension to be used as an intermediate issuer in a chain passed to public_key:pkix_path_validation/3: the cA:false clause recurses into the remaining extensions without rejecting the certificate when it is in issuer position, and the keyUsage check only fires when the extension is present, so a certificate lacking keyUsage entirely bypasses the keyCertSign enforcement. Any party holding an end-entity certificate with basicConstraints cA:false and no keyUsage extension, issued by any CA in the victim's trust store, can use that certificate's private key to sign forged leaf certificates for arbitrary identities. public_key:pkix_path_validation/3 accepts the resulting chain, and by extension every TLS or mTLS endpoint built on the OTP ssl application that relies on the default verifier is affected, including server identity verification on the client side and client certificate verification on mTLS servers. This issue affects OTP from OTP 17.0 before OTP 27.3.4.19, OTP 28.5.0.8, and OTP 29.1.2, corresponding to public_key from 0.22 before 1.17.1.7, 1.20.3.6, and 1.21.8. Whether OTP before OTP 17.0, corresponding to public_key before 0.22, is affected is unknown.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

RHSA-2026:54757: Red Hat OpenStack Platform 16.2

CVE Record: redhat-SADP ↗

RHSA-2026:39809: Red Hat OpenStack Services on OpenShift 18.0

CVE Record: redhat-SADP ↗

3. Временные меры

The verify_fun option in the ssl or public_key application can be used to ensure that path validation rejects chains where an intermediate certificate does not have basicConstraints cA:true.

CVE Record: EEF ↗

Mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base, or stability.

CVE Record: redhat-SADP ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Erlang / OTP

{
  "status": "affected",
  "changes": [
    {
      "at": "27.3.4.19",
      "status": "unaffected"
    },
    {
      "at": "28.5.0.8",
      "status": "unaffected"
    },
    {
      "at": "29.1.2",
      "status": "unaffected"
    }
  ],
  "version": "17.0",
  "lessThan": "*",
  "versionType": "otp"
}

cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*

Erlang / OTP

{
  "status": "affected",
  "changes": [
    {
      "at": "1.17.1.7",
      "status": "unaffected"
    },
    {
      "at": "1.20.3.6",
      "status": "unaffected"
    },
    {
      "at": "1.21.8",
      "status": "unaffected"
    }
  ],
  "version": "0.22",
  "lessThan": "*",
  "versionType": "otp"
}

cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*

Erlang / OTP

{
  "status": "affected",
  "changes": [
    {
      "at": "0a05b7ca33fb0b3f0a6cb9ae34252bb3a74032b8",
      "status": "unaffected"
    },
    {
      "at": "75ca4c0dc2bbdb286ac3c3fe89cb4b4d2b4dc333",
      "status": "unaffected"
    },
    {
      "at": "82af606b5437c4de1276dbcc8855a47e88231226",
      "status": "unaffected"
    }
  ],
  "version": "84adefa331c4159d432d22840663c38f155cd4c1",
  "lessThan": "*",
  "versionType": "git"
}

{
  "status": "unaffected",
  "version": "0a05b7ca33fb0b3f0a6cb9ae34252bb3a74032b8",
  "lessThan": "*",
  "versionType": "git"
}

{
  "status": "unaffected",
  "version": "75ca4c0dc2bbdb286ac3c3fe89cb4b4d2b4dc333",
  "lessThan": "*",
  "versionType": "git"
}

{
  "status": "unaffected",
  "version": "82af606b5437c4de1276dbcc8855a47e88231226",
  "lessThan": "*",
  "versionType": "git"
}

cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*

Red Hat / Red Hat OpenStack Platform 16.2

{
  "status": "unaffected",
  "version": "0:23.3.4.18-2.el8ost",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:openstack:16.2::el8

Red Hat / Red Hat OpenStack Services on OpenShift 18.0

{
  "status": "unaffected",
  "version": "0:26.2.5.21-2.el9ost",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:openstack:18.0::el9

Red Hat / Red Hat Hardened Images

cpe:/a:redhat:hummingbird:1

Red Hat / Red Hat OpenStack Platform 17.1

cpe:/a:redhat:openstack:17.1

CVSS: оценки и векторы

CVSS 4.0 · cve7

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

AT · Условия атакинужны условия

PR · Привилегиине нужны

UI · Участие пользователяне нужно

VC · Конфиденциальность уязвимой системынизкое

VI · Целостность уязвимой системынизкое

VA · Доступность уязвимой системынет

SC · Конфиденциальность связанной системывысокое

SI · Целостность связанной системывысокое

SA · Доступность связанной системынет

CVSS 3.1 · cve8

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиине нужны

UI · Участие пользователятребуется

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьнет

Классы CWE

CWE-295 · Некорректная проверка сертификата CWE-296 · Неправильное следование цепочке доверия сертификата

Источники и ссылки

Бюллетень вендора · github.com · cve Материал · cna.erlef.org · cve Материал · osv.dev · cve Материал · www.erlang.org · cve Исправление · github.com · cve Исправление · github.com · cve Исправление · github.com · cve Материал · access.redhat.com · cve Материал · bugzilla.redhat.com · cve Материал · security.access.redhat.com · cve Бюллетень вендора · access.redhat.com · cve Бюллетень вендора · access.redhat.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:17:16.985488+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T17:44:01.461166+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T17:44:01.461166+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T17:44:01.461166+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:17:16.985488+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T17:44:01.461166+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:17
Данные обновлены04.11.2026, 00:13
Данные обновлены03.11.2026, 00:12
Данные обновлены02.11.2026, 00:11
Данные обновлены31.10.2026, 11:58
Данные обновлены29.10.2026, 12:26
Появились сведения об исправлении28.10.2026, 20:44

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-32144 OCSP designated-responder authorization bypass via missing signature verification Erlang / OTP · Red Hat / Red Hat OpenStack Platform 16.2	Высокий	7.6	0,21 %	Патч	07.04.2026
CVE-2026-28808 ScriptAlias CGI targets bypass directory auth in inets httpd (mod_auth vs mod_cgi path mismatch) Erlang / OTP · Red Hat / Red Hat OpenStack Platform 16.2	Высокий	8.3	0,57 %	Патч	07.04.2026
CVE-2026-32147 SFTP chroot bypass via path traversal in SSH_FXP_FSETSTAT Erlang / OTP · erlang / erlang/otp	Средний	5.3	0,35 %	Патч	21.04.2026
CVE-2026-28810 Predictable DNS Transaction IDs Enable Cache Poisoning in Built-in Resolver Erlang / OTP · erlang / erlang/otp	Средний	6.3	0,27 %	Патч	07.04.2026
CVE-2026-96596 erl_tar:extract/2 loops forever on a GNU sparse member with a trailing hole erlang / rebar3 · hexpm / hex_core	Средний	5.9	0,21 %	Патч	14.10.2026