Erlang OTP ssl: Denial of Service über bösartigen TLS-1.3-Server-Ticket

Zusammenfassung

Die Anwendung ssl von Erlang/OTP prüft bei TLS-1.3-NewSessionTicket-Nachrichten nicht den Nachrichtentyp der Extensions. Ein bösartiger TLS-1.3-Server kann ein fehlerhaftes Ticket senden, das den knotenweiten Session-Ticket-Store eines Clients zum Absturz bringt. Wiederholte Abstürze können die ssl-Anwendung für alle TLS-Verbindungen auf diesem Knoten stoppen. Nur Clients mit der Option {session_tickets, auto} sind betroffen, und der Angreifer muss den Server, mit dem sich der Client verbindet, kontrollieren oder imitieren können.

Betroffen

• Erlang/OTP 23.3 bis vor 27.3.4.19
• Erlang/OTP 28 bis vor 28.5.0.8
• Erlang/OTP 29 bis vor 29.1.2
• Anwendung ssl 10.3 bis vor 11.2.12.14, 11.6.0.7 und 11.7.8
• Nur TLS-1.3-Clients mit {session_tickets, auto}

Behoben in

• OTP 27.3.4.19, 28.5.0.8, 29.1.2
• ssl 11.2.12.14, 11.6.0.7, 11.7.8
• Linux-Distributionen: Paketversion der Distribution verwenden

Umgehung

• {session_tickets, auto} bei TLS-1.3-Clients nicht setzen
• Manuelle Ticket-Verwaltung verwenden oder den Standardwert (deaktiviert) belassen

Ausnutzung

• Zum Zeitpunkt der Erstellung keine bekannte Ausnutzung in freier Wildbahn
• Kein öffentlicher Proof of Concept bekannt
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise

Unsere Empfehlung

• Erlang/OTP und die Anwendung ssl auf die korrigierten Versionen aktualisieren oder die korrigierten Distributionspakete installieren
• Erlang-basierte Software auf Ihren Systemen identifizieren, zum Beispiel RabbitMQ oder ejabberd, und deren OTP-Version prüfen
• Bis zur Korrektur prüfen, ob {session_tickets, auto} konfiguriert ist, und es deaktivieren, falls es nicht benötigt wird
• Priorität: mittel, da die Standardkonfiguration nicht betroffen ist und keine Ausnutzung bekannt ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA EEF) cna.erlef.org
• OSV record EEF-CVE-2026-94200 osv.dev
• GitHub Advisory GHSA-m5mh-q53w-67jq github.com
• Fix commit 00a333b in erlang/otp github.com
• OTP-27.3.4.19 release www.erlang.org
• OTP-29.1.2 release github.com
• ssl release notes www.erlang.org
• Debian security tracker: erlang security-tracker.debian.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:17.