Autorisation incorrecte dans Erlangotp (CVE-2026-48860)
Résumé
Vulnérabilité dans Erlangotp (CVE-2026-48860). Des informations confidentielles peuvent être exposées.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Reliance on IP Address for Authentication vulnerability in Erlang/OTP ssl (inet_tls_dist module) allows unauthenticated bypass of the distribution-over-TLS LAN allowlist.
The inet_tls_dist:check_ip/1 function, which enforces a LAN allowlist for Erlang distribution over TLS, calls inet:sockname/1 instead of inet:peername/1 to obtain the peer's IP address. Because inet:sockname/1 returns the local socket address, both the local IP and the supposed peer IP resolve to the same value, causing the subnet mask comparison to always succeed regardless of the actual remote address. Any holder of a CA-signed TLS certificate can therefore bypass the LAN restriction and gain full Erlang distribution access to the node, including rpc:call/4 and code:load_binary/3.
This vulnerability is associated with program file lib/ssl/src/inet_tls_dist.erl.
This issue affects OTP from OTP 26.0 before 29.0.2, 28.5.0.2 and 27.3.4.13 corresponding to ssl from 11.0 before 11.7.2, 11.6.0.2 and 11.2.12.9.
Workaround
Implement a custom verify_fun SSL option that correctly checks the peer IP address using inet:peername/1 on the socket.
Configuration
The Erlang distribution must be configured to use TLS (inet_tls_dist) with the check_ip option enabled. The default Erlang distribution configuration does not use TLS and is not affected.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-48860 a été découverte dans Erlangotp.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Erlangotp CVE-2026-48860 » sur le site de l'éditeur.
CVE-2026-48860 (Erlangotp) — CWE-863 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Contournement : Implement a custom verify_fun SSL option that correctly checks the peer IP address using inet:peername/1 on the socket.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une autorisation incorrecte (CWE-863) affecte Erlangotp.
Consultez l'avis de l'éditeur pour les versions affectées de Erlangotp.
Gravité : Moyenne (CVSS 6.5/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers la version corrigée selon l'avis éditeur.
Contournement : Implement a custom verify_fun SSL option that correctly checks the peer IP address using inet:peername/1 on the socket.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'Erlangotp' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
Erlangotpを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Implement a custom verify\_fun SSL option that correctly checks the peer IP address using inet:peername/1 on the socket.パッチが適用されるまでの応急処置として、Implement a custom verify_fun SSL option that correctly checks the peer IP address using inet:peername/1 on the socket. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-48860 erlang
- Ubuntu UBUNTU-CVE-2026-48860 erlang
Références
- advisory cna.erlef.org
- advisory osv.dev
- patch github.com
- patch github.com
- web erlang.org
- web github.com