CVSS: 7.8EPSS: 0%CPEs: 12EXPL: 0CVE-2011-0766
https://notcve.org/view.php?id=CVE-2011-0766
The random number generator in the Crypto application before 2.0.2.2, and SSH before 2.0.5, as used in the Erlang/OTP ssh library before R14B03, uses predictable seeds based on the current time, which makes it easier for remote attackers to guess DSA host and SSH session keys. El generador de números aleatorios de la aplicación Crypto en versiones anteriores a la 2.0.2.2, y SSH anteriores a 2.0.5, como es usado en la librería Erlang/OTP ssh en versiones anteriores a la R14B03, utiliza semillas predecibles basadas en la fecha actual, lo que facilita a atacantes remotos adivinar el host DSA y las claves de sesión SSH. • http://secunia.com/advisories/44709 http://www.kb.cert.org/vuls/id/178990 http://www.securityfocus.com/bid/47980 https://github.com/erlang/otp/commit/f228601de45c5b53241b103af6616453c50885a5 • CWE-310: Cryptographic Issues •
CVSS: 5.0EPSS: 0%CPEs: 1EXPL: 1CVE-2009-0130
https://notcve.org/view.php?id=CVE-2009-0130
lib/crypto/c_src/crypto_drv.c in erlang does not properly check the return value from the OpenSSL DSA_do_verify function, which might allow remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077. NOTE: a package maintainer disputes this issue, reporting that there is a proper check within the only code that uses the applicable part of crypto_drv.c, and thus "this report is invalid. ** CUESTIONADA ** lib/crypto/c_src/crypto_drv.c en erlang no comprueba adecuadamente el retorno del valor de la función OpenSSL DSA_do_verify, esto permitiría a atacantes remotos eludir la validación de la cadena de certificados a través de una firma SSL/TLS, una vulnerabilidad similar a CVE-2008-5077. NOTA: Un desarrollador del paquete cuestiona los hechos, reportando que existe una comprobación adecuada dentro del unico codigo que utiliza la parte aplicable de crypto_drv.c, por lo que "este informe es invalido". • http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=511520 http://openwall.com/lists/oss-security/2009/01/12/4 • CWE-287: Improper Authentication •