Erlang/OTP 17.0 < 27.3.4.14 / 28.0 < 28.5.0.3 / 29.0 < 29.0.3 多种漏洞
medium Nessus 插件 ID 325890
语言：
简介
远程主机受到多个漏洞影响。描述
远程主机上安装的 Erlang/OTP 版本为低于 27.3.4.14 的 17.0、低于 28.5.0.3 的 28.0 或低于 29.0.3 的 29.0。因此，该应用程序受到多个漏洞的影响：- Erlang OTP ssh（ssh_sftpd 模块）中可观察到的响应差异漏洞允许经认证的 SFTP 用户枚举配置的根目录之外是否存在文件和目录。
(CVE-2026-53422)
- Erlang OTP ssh（ssh_sftpd 模块）中的无法达到退出条件的循环（“无限循环”）漏洞允许经过认证的 SFTP 用户将 SFTP 通道渲染为永久无响应。（CVE-2026-54886）
- Erlang/OTP ssl（tls_gen_connection 模块）中存在一个未经认证的明文，在通信通道中传输期间未正确强制执行消息完整性，这使得网络定位的攻击者能够注入未经认证的纯文本，随后 TLS 客户端应用程序会将其视为经认证的服务器数据。（CVE-2026-54891）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级至 Erlang/OTP 27.3.4.14、28.5.0.3、29.0.3 或更高版本。另见
https://github.com/erlang/otp/security/advisories/GHSA-7wp4-pc27-2vj9
https://github.com/erlang/otp/security/advisories/GHSA-gf6r-99xw-6qg6
https://github.com/erlang/otp/security/advisories/GHSA-h9pw-h5w4-h976
插件详情
严重性: Medium
ID: 325890
文件名: erlang_otp_CVE-2026-53422.nasl
版本: 1.2
类型: Local
代理: windows, macosx, unix
系列: Misc.
发布时间: 2026/7/9
最近更新时间: 2026/7/10
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.2
百分位: 51.08
CVSS v2
风险因素: Medium
基本分数: 4
时间分数: 3
矢量: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N
CVSS 分数来源: CVE-2026-53422
CVSS v3
风险因素: Medium
基本分数: 4.3
时间分数: 3.8
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-54891
漏洞信息
CPE: cpe:/a:erlang:erlang%2fotp
必需的 KB 项: installed_sw/Erlang-OTP
易利用性: No known exploits are available
补丁发布日期: 2026/7/2
漏洞发布日期: 2026/7/2