EEF-CVE-2026-42790 漏洞概述 漏洞名称: EEF-CVE-2026-42790 漏洞类型: Improper Certificate Validation 漏洞描述: Erlang OTP 的 模块（ 和 ）存在一个 DNS nameConstraints 绕过漏洞，允许通过 subject CommonName 回退在 TLS 主机名验证中绕过。 CVSS 评分: 7.6 (High) CVSS 向量: CVSS:3.4/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 影响范围 受影响版本: OTP 从 19.3 到 26.2.5.21, 27.3.1.2, 28.5.0.1, 和 29.0.1，对应 从 1.4 到 1.15.17, 1.17.1.3, 1.20.3.1, 和 1.2.1.1。 修复方案 修复状态: 未提及具体修复方案，建议用户升级到不受影响的版本。 详细信息 漏洞原理: - 两个缺陷结合允许一个子 CA 在其 DNS nameConstraints 受限的情况下（例如 ）颁发一个叶证书，该证书被 OTP TLS 客户端接受为超出范围的标识符（例如 ）。 - 首先， 在 中仅检查 SAN 条目与 nameConstraints。根据 RFC 5280，允许的 DNS 子树仅限制包含 DNS 类型名称的证书。没有 subjectAltName 的叶证书因此可以轻易满足任何 permittedDNS... 约束，仅检查其 subject CommonName。 - 其次， 在 中在存在 subjectAltName 时回退到 subject CommonName，忽略提取的 alt-commonName 属性作为提供的 ID 并与参考主机名进行匹配。严格的 匹配器不会抑制此回退。 - 结果是路径验证接受一个 CN-only 叶证书，通过 DNS-constrained 中间证书（因为 SAN 意味着 nameConstraints 未触发），并通过 CN 回退接受其主机名验证。此绕过可通过 stock sslsocket 与 verify_peer、受信任 CA、SNI 和 canonical strict https hostname 匹配器实现。 工作区 工作区: 未提及具体工作区。