JVNDB-2026-017840

ERLANGのErlang/OTPにおける複数の脆弱性

Erlang OTPのpublic_keyモジュール(pubkey_ocspモジュール)における不適切な証明書検証の脆弱性により、有効期限切れのレスポンダー証明書で署名された偽造OCSPレスポンスが有効として受け入れられる可能性があります。lib/public_key/src/pubkey_ocsp.erl内のpubkey_ocsp:verify_response/5およびpubkey_ocsp:is_authorized_responder/3によるOCSPレスポンスの検証は、OCSPレスポンダー証明書の有効期間(notBefore/notAfter)をチェックしていません。有効期限切れのCA指定OCSPレスポンダー証明書の秘密鍵を取得した攻撃者は、Erlang/OTPが有効と受け入れる偽造OCSPレスポンスを作成可能です。これは、sslアプリケーション経由でOCSPステープリングを使用するTLSクライアントに影響します。悪意のあるまたは侵害されたサーバーは、失効したTLS証明書を偽造されたOCSPレスポンス（有効期限切れのレスポンダー鍵で署名されたもの）と共に提示でき、クライアントはその失効証明書を有効として受け入れます。また、public_key:pkix_ocsp_validate/5を直接呼び出すアプリケーションにも影響があり、その影響はユースケースによって異なります。サーバー側のクライアント証明書検証でこのAPIを使用している場合、失効したクライアント証明書による認証回避を許す可能性があります。この問題は、OTP 27.0から27.3.4.12、28.5.0.1、29.0.1のpublic_key 1.16以前から1.17.1.3、1.20.3.1、1.21.1に対応するOTPのバージョンに影響します。

ERLANG

• Erlang/OTP 27.0 以上 27.3.4.12 未満
• Erlang/OTP 28.0 以上 28.5.0.1 未満
• Erlang/OTP 29.0 以上 29.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : OCSP responder certificate validity period not checked in public_key | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : OCSP Responder Certificate Accepted After Expiry in public_key  Advisory  erlang/otp  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-42791 - OSV

1. 不正な証明書検証(CWE-295) [その他]
2. 有効期限後または解放後のリソースの操作(CWE-672) [その他]

1. CVE-2026-42791

1. National Vulnerability Database (NVD) : CVE-2026-42791
2. 関連文書 : public_key: Validate OCSP responder certificate validity period  erlang/otp@b3870e0  GitHub
3. 関連文書 : Versions ― Erlang System Documentation v29.0.1
4. 関連文書 : public_key: Validate OCSP responder certificate validity period  erlang/otp@7995f1f  GitHub

• [2026年06月04日]
    掲載