CVE-2024-36066
Açıklama
KeyFactor EJBCA 8.3.1 öncesindeki CMP CLI istemcisi yalnızca 6 oktetlik bir tuz (salt) kullanmaktadır ve bu nedenle RFC 4211 güvenlik gereksinimlerine uygun değildir; bu durum ortadaki adam (man-in-the-middle) saldırılarını kolaylaştırabilir. CMP, mesaj bütünlüğü ve kimlik doğrulama için seçeneklerden biri olarak parola tabanlı MAC'i içermektedir (diğer seçenek sertifika tabanlıdır). RFC 4211 bölüm 4.4, parola tabanlı MAC parametrelerinin en az 8 oktet uzunluğunda rastgele bir değere sahip bir tuz kullanmasını gerektirir. Bu, sözlük saldırılarını engellemeye yardımcı olur. Bağımsız CMP istemcisi başlangıçta test kodu olarak geliştirildiği için tuz değeri bunun yerine sabit olarak kodlanmış ve yalnızca 6 oktet uzunluğunda tutulmuştur.
Nasıl düzeltilir
- keyfactor ejbca8.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| keyfactor ejbca | v < 8.3.1 | 8.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.