Średni Odebrany

CVE-2026-103502

opublikowano: 12.10.2026, 16:17

modyfikacja: 12.10.2026, 16:17

Ocena CVSS

5.9

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Luka w zabezpieczeniach nieprawidłowego sprawdzania poprawności certyfikatu w hexpm hex_core umożliwia atakującemu, który może przechwycić połączenia HTTPS, podszywanie się pod hex.pm, repo.hex.pm lub dowolne inne repozytorium lub serwer API do programów korzystających z domyślnego adaptera HTTP hex_core na Erlang/OTP 24 lub na OTP 25, gdy nie można załadować certyfikatów CA systemu operacyjnego.

hex_core:default_config/0 wybiera wbudowany adapter hex_http_httpc. W przypadku żądania HTTPS, którego konfiguracja adaptera nie zawiera opcji SSL, funkcja hex_http_httpc:http_options/2 tworzy opcje, które weryfikują certyfikat serwera względem public_key:cacerts_get/0. Kiedy to wywołanie zostanie nawiązane, adapter drukuje ostrzeżenie i wysyła żądanie bez opcji ssl, więc httpc używa ustawień domyślnych aplikacji ssl, która przed OTP 26 nie weryfikuje certyfikatu serwera. public_key:cacerts_get/0 nie istnieje na OTP 24, więc każde żądanie HTTPS wraca tam, a na OTP 25 pojawia się, gdy nie zostanie znaleziony żaden sklep CA. Wersje hex_core starsze niż 0.11.0 nigdy nie ustawiają opcji ssl, więc nie weryfikują certyfikatu serwera na OTP 25 i wcześniejszych, czy znaleziono magazyn CA.

Rozwiązanie awaryjne było zamierzone i udokumentowane, ale z dokumentacji nie wynikało jasno, że oznacza to brak weryfikacji certyfikatu. Od wersji hex_core 0.8.2 plik README ostrzega, że wbudowany adapter httpc „ma niebezpieczne ustawienia domyślne” i zaleca innych klientów HTTP, a adapter drukuje „używając domyślnych opcji ssl, które są niezabezpieczone” przy każdym porzuconym żądaniu. hex_core 0.11.0 dodał weryfikację certyfikatu z wpisem w dzienniku zmian „Użyj domyślnych ustawień bezpiecznego SSL dla OTP 25+”. Ani plik README, ani ostrzeżenie nie mówią, że certyfikat serwera nie został zweryfikowany, plik README nie mówi, których wersji OTP dotyczy ostrzeżenie, a w przypadku OTP 25 bez certyfikatów CA ostrzeżenie informuje użytkowników o konieczności aktualizacji do wersji OTP 25 lub nowszej, którą już uruchamiają. Niniejsza porada została opublikowana, aby użytkownicy, którzy potraktowali te uwagi jako ogólną poradę, wiedzieli, że ich żądania HTTPS nie zostały uwierzytelnione.

Ten problem dotyczy hex_core: od 0.1.0 do 0.20.0.

Improper Certificate Validation vulnerability in hexpm hex_core allows an attacker who can intercept HTTPS connections to impersonate hex.pm, repo.hex.pm or any other repository or API server to programs that use hex_core's default HTTP adapter on Erlang/OTP 24, or on OTP 25 when the operating system's CA certificates can't be loaded.

hex_core:default_config/0 selects the built-in hex_http_httpc adapter. For an HTTPS request whose adapter config has no ssl option, hex_http_httpc:http_options/2 builds options that verify the server certificate against public_key:cacerts_get/0. When that call raises, the adapter prints a warning and sends the request without ssl options, so httpc uses the defaults of the ssl application, which before OTP 26 don't verify the server certificate. public_key:cacerts_get/0 doesn't exist on OTP 24, so every HTTPS request falls back there, and on OTP 25 it raises when no CA store is found. hex_core versions before 0.11.0 never set ssl options, so they don't verify the server certificate on OTP 25 and earlier whether or not a CA store is found.

The fallback was intended and documented, but the documentation didn't make clear that it meant no certificate verification. Since hex_core 0.8.2 the README has warned that the built-in httpc adapter "has insecure default settings" and recommended other HTTP clients, and the adapter prints "using default ssl options which are insecure" on every request that falls back. hex_core 0.11.0 added certificate verification with the changelog entry "Use secure SSL defaults for OTP 25+". Neither the README nor the warning says that the server certificate isn't verified, the README doesn't say which OTP versions the warning applies to, and on OTP 25 without CA certificates the warning tells users to upgrade to OTP 25 or later, which they already run. This advisory is published so that users who took those notices as general advice know their HTTPS requests weren't authenticated.

This issue affects hex_core: from 0.1.0 before 0.20.0.

>_ Słabości (CWE)

CWE-295 CWE-636

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve