Уязвимость в проверке цифровых подписей в OpenCA

Дата публикации:
20.01.2004
Всего просмотров:
975
Опасность:
Средняя
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Удаленная
Воздействие:
Обход ограничений безопасности
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
OpenCA 0.x
Уязвимые версии: OpenCA 0.9.1.7

Описание: Уязвимость обнаружена в OpenCA в проверке цифровых подписей. Система может доверять сигнатурам от альтернативного PKI.

Уязвимость обнаружена в crypto-utils.lib позволяет OpenCA принимать сигнатуры от сертификата, если цепочка сертификатов доверена OpenCA chain каталогом. В результате, сертификат от отличного PKI может управлять разрешениями доступа, если установлены определенные доверенные отношения.

URL производителя: http://www.openca.org

Решение:Установите OpenCA 0.9.1, доступную через CVS:

--- src/common/lib/functions/crypto-utils.lib   2004-01-15 
12:10:45.000000000 +0100
+++ src/common/lib/functions/crypto-utils.lib.new       2004-01-15 
12:10:06.000000000 +0100
@@ -201,7 +201,7 @@
                                                "__ERRVAL__", 
$OpenCA::X509::errval);
                         return undef;
                 }
-               last if ( $tmpCert->getSerial() eq $sigCert->getSerial() );
+               last if ( $tmpCert->getPEM() eq $sigCert->getPEM() );
                 $sigCert = undef;
         }


Ссылки: OpenCA Advisory] Vulnerability in signature verification
или введите имя

CAPTCHA