hackney: Unzureichende Zertifikatsprüfung bei eigenem Trust Store

Zusammenfassung

Die Erlang-HTTP-Client-Bibliothek hackney behält einen certifi-basierten partial_chain-Callback, wenn eine Anwendung eine private CA über cacerts oder cacertfile festlegt. OTP akzeptiert dann jede Peer-Kette, die ein öffentlich vertrauenswürdiges Root-Zertifikat enthält, und die festgelegte CA wird umgangen. Ein Angreifer auf dem Netzwerkpfad mit einem öffentlich vertrauenswürdigen Zertifikat für den festgelegten Hostnamen kann sich als Server ausgeben und Datenverkehr lesen oder verändern. Die Standard-Vertrauensspeicher von certifi sind nicht betroffen.

Betroffen

• hackney 1.24.0 bis vor 4.9.0
• Commit-Bereich d8a9afc bis 915eb57 (gemäss CNA-Eintrag)
• Nur Verbindungen, die cacerts oder cacertfile in ssl_options übergeben, ohne eigenen partial_chain

Behoben in

• hackney 4.9.0 (Fix in PR #978, Commit 915eb57)
• Hinweis: Einige Downstream-Projekte verwenden 4.9.1; vor dem Festlegen der Version das Hex-Paket prüfen

Umgehung

• Eigenen {partial_chain, Fun} in ssl_options zusammen mit cacerts oder cacertfile übergeben (ein Callback, der unknown_ca zurückgibt, validiert nur gegen die konfigurierten CAs)
• Ansonsten ist kein Workaround des Herstellers dokumentiert; das Aktualisieren ist die Behebung

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof of Concept gefunden
• CISA KEV: nicht geprüft

Unsere Empfehlung

• Elixir-/Erlang-Projekte finden, die hackney direkt oder über HTTPoison, ex_aws abhängen, und Lock-Dateien auf Versionen 1.24.0 bis 4.8.x prüfen
• Auf hackney 4.9.0 oder neuer aktualisieren, nachdem die Hex-Paketversion bestätigt wurde
• Prüfen, ob Verbindungen cacerts oder cacertfile in ssl_options übergeben; diese sind betroffen
• mix hex.audit auf Elixir-Projekten ausführen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-115693 (EEF CNA) cna.erlef.org
• OSV record EEF-CVE-2026-115693 osv.dev
• Fix commit 915eb57 github.com
• Introducing commit d8a9afc github.com
• Fix pull request #978 github.com
• hackney 4.9.0 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:24.