远程主机上安装的 Erlang/OTP 版本为低于 27.3.4.14 的 25.3、低于 28.5.0.3 的 28.0 或低于 29.0.3 的 29.0。因此，该应用程序会受到漏洞的影响：

  - 检查时间 Erlang/OTP ssl（dtls_packet_demux 模块）中的使用时间 （TOCTOU） 争用条件漏洞允许未经身份验证的远程攻击者造成监听器上所有活动的 DTLS 会话崩溃。当 DTLS 客户端从同一源地址和端口快速重新连接时，demux 的内部gb_trees键值存储中的争用条件会导致崩溃，从而终止 demux 进程。（CVE-2026-55950）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6464 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6464-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：erlang CVE ID： CVE-2026-28808 CVE-2026-28810 CVE-2026-32144 CVE-2026-32147 CVE-2026-42789 CVE-2026-42790 CVE-2026-42791 CVE-2026-42792 CVE-2026-47078 CVE-2026-48855 CVE-2026-48856 CVE-2026-48858 CVE-2026-48860 CVE-2026-49759 CVE-2026-49760 CVE-2026-53422 CVE-2026-54886 CVE-2026-54887 CVE-2026-54890 CVE-2026-54891 CVE-2026-55737 CVE-2026-55950 CVE-2026-55952 CVE-2026-55953 CVE-2026-58227 CVE-2026-59250 CVE-2026-59251 Debian 缺陷：1139727 1139823 1141414 1142985

    并发、实时、分布式功能语言 Erlang/OTP 中发现多个漏洞，可能会造成拒绝服务、信息泄露、身份验证和证书验证绕过，或执行任意代码。这些漏洞会影响多种组件：TLS 和证书验证（ssl、public_key）、SSH （ssh）、网络客户端和服务器（inets、ftp、epmd、kernel）、运行时和库（erts、erl_interface、stdlib、megaco）。

    这些补丁中的一部分会加强之前过于宽松的检查，并可能导致之前有效的配置停止工作。最有可能被注意到的是：

     - 使用 verify_peer（默认）的 TLS 客户端现在拒绝不带有 subjectAltName 扩展的证书；customize_hostname_check选项不会还原旧行为。

     - 带有内核“check_ip”选项的 TLS 上 Erlang 分发现在会强制执行之前不工作的检查，因此节点不在同一子网的群集会丢失分发连接，直到取消设置该选项为止。

     - 现在，如果服务器未提供装订响应，请求 OCSP 封套的 TLS 客户端将导致握手失败。

     - 如果服务器发送客户端未通告的 ALPN 扩展，则使用 TLS 1.2 或更早版本的客户端现在会中止握手。

     - 通过 inet_res 进行的 DNS 查询现在使用随机的源端口

    对于稳定发行版本 (trixie)，已在版本 1:27.3.4.1+dfsg-1+deb13u3 中修复这些问题。

    建议您升级 erlang 程序包。

    如需了解 erlang 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/erlang

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 检查时间 Erlang/OTP ssl（dtls_packet_demux 模块）中的使用时间 （TOCTOU） 争用条件漏洞允许未经身份验证的远程攻击者造成监听器上所有活动的 DTLS 会话崩溃。DTLS 服务器侦听器使用单个共享dtls_packet_demux gen_server进程将传入的 UDP 数据报路由到正确的连接处理程序。当 DTLS 客户端从相同的源地址和端口快速重新连接（快速连续发送多个 ClientHello 消息）时，demux 的内部gb_trees键值存储中的争用条件会导致 {key_exists， {old， Client}} 崩溃，从而终止 demux 进程。
    由于 demux 在该监听器的所有 DTLS 关联之间共享，因此其崩溃会立即终止每个活动的 DTLS 会话，而不仅仅是攻击者的会话。该攻击为预身份验证：攻击者只需从同一源 IP 和端口发送包含有效 ClientHello 消息的 UDP 数据报，gen_server就会处理中间 DOWN 监控消息。不需要凭据、无需完成握手和特殊配置，并且崩溃可以无限期重复，从而对该监听器的所有客户端造成持久性拒绝服务。此漏洞与程序文件 lib/ssl/src/dtls_packet_demux.erl 相关联。此问题会影响来自 OTP 25.3 的 OTP，而不是 OTP 29.0.3、 OTP 28.5.0.3 和 OTP27.3.4.14，对应于之前11.7.3的 10.9 和 11.6.0.311.2.12.10中的 ssl。
    (CVE-2026-55950)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS 主机上安装的多个程序包受到公告 USN-8901-1 中提及的多个漏洞影响。

    Wander Nauta 发现 Erlang 在提取 zip 存档时未能正确处理绝对路径。攻击者可能利用此问题在预期目录之外写入任意文件。此问题只影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2025-4748)

    发现 Erlang SFTP 服务器未能正确限制数据包大小。远程攻击者可利用此问题造成 Erlang 使用过多资源，从而导致拒绝服务。此问题只影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2025-26618)

    发现 Erlang SSH 服务器未能正确限制密钥交换消息中算法名称的长度。远程攻击者可利用此问题造成 Erlang 使用过多资源，从而导致拒绝服务。此问题只影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2025-30211)

    发现 Erlang TFTP 服务器未能正确处理某些文件路径。远程攻击者可能利用此问题访问预期目录外部的文件。（CVE-2026-21620）

    发现 Erlang SFTP 服务器未能正确针对配置的根目录验证路径。经认证的用户可能利用此问题访问根目录之外的文件。（CVE-2026-23942）

    发现 Erlang SSH 服务器默认启用 zlib 压缩，未限制解压缩数据的大小。远程攻击者可利用此问题造成 Erlang 使用过多资源，从而导致拒绝服务。（CVE-2026-23943）

    发现 Erlang HTTP 服务器未能正确对通过脚本别名提供的 CGI 脚本应用目录访问控制。远程攻击者可能利用此问题绕过认证并访问受保护的 CGI 脚本。（CVE-2026-28808）

    已发现 Erlang DNS 解析器使用可预测的事务 ID 且未随机化源端口。远程攻击者可能利用此问题执行 DNS 缓存中毒攻击。此问题只影响 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-28810)

    已发现 Erlang 未验证指定 OCSP 响应器证书的签名。远程攻击者可能利用此问题伪造 OCSP 响应并绕过证书吊销检查。此问题仅影响 Ubuntu 26.04 LTS。(CVE-2026-32144)

    发现 Erlang SFTP 服务器未能正确处理打开文件句柄上的文件属性变更。经认证的用户可能利用此问题修改根目录之外的文件属性。（CVE-2026-32147）

    发现 Erlang 错误地允许非 CA 证书充当中间证书颁发者。远程攻击者可能利用此问题伪造证书链。（CVE-2026-42789）

    发现 Erlang 在主机名验证过程中未能正确处理 DNS 名称限制。远程攻击者可能利用此问题绕过证书验证。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。
    (CVE-2026-42790)

    已发现 Erlang 未检查 OCSP 响应器证书的有效期。远程攻击者可能利用此问题伪造使用过期响应器证书的 OCSP 响应。
    此问题仅影响 Ubuntu 26.04 LTS。(CVE-2026-42791)

    发现 Erlang 在提取 zip 存档时未能正确处理相对路径。攻击者可能利用此问题在预期目录之外写入任意文件。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。
    (CVE-2026-47078)

    发现 Erlang SFTP 服务器在读取符号链接时暴露绝对路径。经过身份验证的使用者可能会利用此问题获取敏感信息。(CVE-2026-48855)

    发现 Erlang HTTP 客户端在跨源重定向时转发授权标头。恶意 HTTP 服务器可能利用此问题来获取敏感信息。（CVE-2026-48856）

    发现 Erlang FTP 客户端未能验证被动模式响应中的 IP 地址。恶意 FTP 服务器可能利用此问题执行服务器端请求伪造攻击。
    (CVE-2026-48858)

    已发现 Erlang 在强制执行允许列表以通过 TLS 分发时，检查的是本地地址而不是对等机地址。远程攻击者可能利用此问题绕过访问限制。此问题仅影响 Ubuntu 26.04 LTS。(CVE-2026-48860)

    发现 Erlang 未正确处理某些 SCTP ERROR 区块，从而导致缓冲区溢出。
    远程攻击者可能利用此问题造成 Erlang 崩溃，从而导致拒绝服务。（CVE-2026-49759）

    已发现 Erlang erl_interface 库未正确处理打印极大的整数，从而导致缓冲区溢出。攻击者可能利用此问题导致 Erlang 崩溃或执行任意代码。（CVE-2026-49760）

    发现 Erlang SFTP 服务器未能正确处理某些路径解析请求。经认证的用户可能利用此问题确定根目录以外是否存在文件。（CVE-2026-53422）

    发现 Erlang SFTP 服务器未能正确处理扩展的通道数据，从而导致无限循环。经过认证的用户可能利用此问题造成拒绝服务。
    (CVE-2026-54886)

    已发现 Erlang DTLS 服务器在启动时使用了可预测的 cookie 密码。远程攻击者可能利用此问题绕过源地址验证。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。
    (CVE-2026-54887)

    发现在握手完成前，Erlang TLS 客户端未正确接受应用程序数据。远程攻击者可能利用此问题向 TLS 连接注入任意数据。
    (CVE-2026-54891)

    已发现 Erlang DTLS 服务器在处理快速客户端重新连接时包含一个争用条件。远程攻击者可能利用此问题造成 Erlang 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-55950)

    发现 Erlang 未能正确验证 TLS 1.3 预共享密钥扩展。远程攻击者可能利用此问题造成 Erlang 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。
    (CVE-2026-55952)

    发现 Erlang ASN.1 解码器未能正确处理某些对象标识符。远程攻击者可利用此问题造成 Erlang 使用过多资源，从而导致拒绝服务。（CVE-2026-65634）

    发现 Erlang SSH 服务器未能正确限制开放通道数量。经身份验证的用户可利用此问题造成 Erlang 使用过多资源，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.0424.04 LTS 和 Ubuntu 26.04 LTS。（CVE-2026-68956）

    已发现使用 dets 或 mnesia 认证后端时，Erlang HTTP 服务器未正确在目录之间共享用户和群组。远程攻击者可能利用此问题绕过身份验证并访问受保护的目录。（CVE-2026-74994）

    发现 Erlang TLS 客户端错误地接受了来自服务器的未经请求的 TLS 1.3 预共享密钥。远程攻击者可利用此问题冒充服务器。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-89422)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
325889	Erlang/OTP 25.3 < 27.3.4.14/28.0 < 28.5.0.3/29.0 < 29.0.3 DoS (CVE-2026-55950)	Nessus	Misc.	2026/7/9	2026/10/7	high
339216	Debian DSA-6464：erlang - 安全更新	Nessus	Debian Local Security Checks	2026/8/25	2026/8/25	critical
324945	Linux Distros 未修补的漏洞：CVE-2026-55950	Nessus	Misc.	2026/7/3	2026/10/9	high
365371	Ubuntu 14.04 LTS / LTS / 18.0416.04 LTS / 20.04 LTS / 22.04 LTS / LTS / 24.0426.04 LTS：Erlang 漏洞（USN-8901-1）	Nessus	Ubuntu Local Security Checks	2026/10/13	2026/10/13	critical

检测

插件搜索

high

critical

high

critical