CVE-2026-117666
ssl_verify_fun: partial-label wildcard certificate matches hostnames across a label boundary
CVSS 3.1Medium
9.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить ssl_verify_fun до версии 1.1.8 или новее. Включить нативную проверку SNI средствами Erlang/OTP.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В библиотеке ssl_verify_fun функция сопоставления wildcard-сертификатов некорректно обрабатывает частичные маски. Символ подстановки пересекает границы меток доменного имени, что позволяет обойти валидацию узла при установлении TLS-соединения.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Уязвимость локализована в функции try_match_wildcard/4 модуля ssl_verify_hostname.erl. Алгоритм сопоставления фиксирует только подстроки до и после символа «*», в результате чего шаблон захватывает разделительные точки вопреки требованиям стандарта RFC 6125.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Проведение MitM-атаки: перехват и модификация зашифрованного TLS-трафика при отключённом механизме SNI, при проверке сертификатов сервером или при прямом вызове verify_cert_hostname/2.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/deadtrickster/ssl_verify_fun.erl/security/advisories/GHSA-7gw2-hphm-c5px
- cna.erlef.orghttps://cna.erlef.org/cves/CVE-2026-117666.html
- osv.devhttps://osv.dev/vulnerability/EEF-CVE-2026-117666
- github.comhttps://github.com/deadtrickster/ssl_verify_fun.erl/pull/33
- github.comhttps://github.com/deadtrickster/ssl_verify_fun.erl/commit/a49ca56923356c7a3981692b23c42ef32c2990e0
- github.comhttps://github.com/deadtrickster/ssl_verify_fun.erl/commit/ca34031299cd2e0c98794c0da4ba556b94e39aad
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-117666: ssl_verify_fun: partial-label wildcard certificate matches hostnames across a label boundary. URL: https://cve.futuretools.ru/cve/CVE-2026-117666
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_117666,
title = {{CVE-2026-117666: ssl_verify_fun: partial-label wildcard certificate matches hostnames across a label boundary}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-117666}},
note = {Оперативный инженерный анализ киберугроз}
}