CVE-2026-32144: Certificate Validation Bypass in Erlang OTP

यह दोष हमलावरों को OCSP प्रतिक्रियाओं को नियंत्रित करने की अनुमति देता है, जिससे वे दुर्भावनापूर्ण प्रमाणपत्रों को मान्य कर सकते हैं और संभावित रूप से संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं। एक हमलावर एक स्व-हस्ताक्षरित प्रमाणपत्र बना सकता है और इसे वैध के रूप में प्रस्तुत कर सकता है, जिससे सिस्टम को असुरक्षित स्थिति में रखा जा सकता है। इस दोष का फायदा उठाकर, हमलावर सिस्टम में अनधिकृत परिवर्तन कर सकते हैं, डेटा चोरी कर सकते हैं, या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकते हैं। यह दोष विशेष रूप से उन अनुप्रयोगों के लिए गंभीर है जो सुरक्षित संचार के लिए सार्वजनिक कुंजी अवसंरचना (PKI) पर निर्भर करते हैं।

Applications and systems utilizing Erlang OTP versions 1.16.0 and later for certificate validation, particularly those handling sensitive data or operating in untrusted network environments, are at risk. This includes systems relying on Erlang OTP for TLS/SSL connections and those integrated with third-party services that require certificate verification.

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-03-10
2. प्रकाशित2026-04-07
3. EPSS अद्यतन2026-04-15

इस दोष को कम करने के लिए, Erlang OTP को नवीनतम संस्करण में अपग्रेड करने की अनुशंसा की जाती है, जिसमें यह समस्या हल की गई है। यदि अपग्रेड करना तत्काल संभव नहीं है, तो OCSP सत्यापन को अस्थायी रूप से अक्षम करने पर विचार करें, लेकिन यह ध्यान रखें कि इससे सुरक्षा जोखिम बढ़ सकता है। OCSP सत्यापन को अक्षम करने के लिए, pubkey_ocsp:validate/2 फ़ंक्शन में सत्यापन तर्क को संशोधित करें। इसके अतिरिक्त, नेटवर्क ट्रैफ़िक की निगरानी करें और असामान्य OCSP अनुरोधों की तलाश करें। अपग्रेड के बाद, सुनिश्चित करें कि OCSP सत्यापन ठीक से काम कर रहा है और प्रमाणपत्रों को सही ढंग से मान्य किया जा रहा है।