Ошибка проверки сертификатов в CryptoAPI в различных Microsoft приложениях
| Дата публикации: | 05.09.2002 |
| Дата изменения: | 17.10.2006 |
| Всего просмотров: | 1601 |
| Опасность: | |
| Наличие исправления: | |
| Количество уязвимостей: | 1 |
| CVE ID: | Нет данных |
| Вектор эксплуатации: | |
| Воздействие: | |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | |
| Описание: | IETF профиль X.509 стандарта, определяет несколько дополнительных полей, которые могут быть включены в цифровой сертификат. Одно из таких полей - поле Basic Constraints, которое указывает максимальную допустимую длину цепочки сертификатов и является ли сертификат Certificate Authority или сертификатом конечного объекта. Однако функции CryptoAPI, которые создают и проверяют правильность цепочек сертификатов (CertGetCertificateChain (), CertVerifyCertificateChainPolicy (), и WinVerifyTrust ()), не проверяют поле Basic Constraints. Уязвимость позволяет атакующему, имеющему правильный сертификат конечного объекта, выпустить зависимый поддельный сертификат, который пройдет проверку правильности. Поскольку CryptoAPI используется широким диапазоном приложений, уязвимость может использоваться для выполнения различных типов нападений, например:
|