CVE-2023-34196
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W EJBCA przed wersją 8.0.0, serwlet dystrybucji certyfikatów RA /ejbca/ra/cert umożliwia częściowe odmowy usługi z powodu problemu z uwierzytelnieniem. W konfiguracjach używających OAuth może dojść do ujawnienia certyfikatów CA (atrybutów i kluczy publicznych) nieautoryzowanym lub mniej uprzywilejowanym użytkownikom.
Ocena ryzyka
Organizacja może być narażona na częściowe odmowy usługi oraz na nieautoryzowany dostęp do wrażliwych informacji, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację do wersji EJBCA 8.0.0 lub nowszej oraz przegląd konfiguracji OAuth w celu zabezpieczenia dostępu do certyfikatów CA.
Inne podatności w Keyfactor EJBCA
Zobacz wszystkie- CVE-2025-62819Nieznane
Keyfactor EJBCA w wersji do 9.3.3 wykonuje niewystarczające kontrole autoryzacji podczas samodzielnego odnawiania certyfikatu klienta za pośrednictwem interfejsu użytkownika RA (Registration Authority). Pozwala to zdalnemu użytkownikowi uwierzytelnionemu ważnym certyfikatem klienta odnowić certyfikat, nawet jeśli status końcowego podmiotu i/lub ustawienia profilu powinny odmówić odnowienia. Atakujący musi posiadać ważny certyfikat klienta TLS i być upoważniony do korzystania z interfejsu RA, albo za pomocą certyfikatu, albo poprzez członkostwo w roli PublicAccessAuthenticationToken.
- CVE-2025-49602Niskie ryzyko· EPSS 8%
W Keyfactor EJBCA 9 występuje problem z uwierzytelnianiem: gdy administrator zostanie pozbawiony roli administratora podczas aktywnej sesji TLS, EJBCA może w pewnych okolicznościach buforować uwierzytelnienie dłużej niż skonfigurowany maksymalny czas (domyślnie 30 sekund). W rezultacie były administrator zachowuje dostęp, którego nie powinien już mieć.
Oryginalny opis (angielski, źródło NVD)
In the Keyfactor EJBCA before 8.0.0, the RA web certificate distribution servlet /ejbca/ra/cert allows partial denial of service due to an authentication issue. In configurations using OAuth, disclosure of CA certificates (attributes and public keys) to unauthenticated or less privileged users may occur.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS