CVE-2025-55109

Boş veya varsayılan bir kdb keystore ya da varsayılan bir PKCS#12 keystore kullanıldığında, destek süresi dolmuş olan Control-M/Agent versiyonları 9.0.18 ile 9.0.20 arasında ve potansiyel olarak daha eski desteklenmeyen versiyonlarda bir kimlik doğrulama atlatma zafiyeti bulunmaktadır. İstemci kimlik doğrulaması için imzalı bir üçüncü taraf veya demo sertifikasına erişimi olan uzaktaki bir saldırgan, Control-M/Agent üzerindeki kimlik doğrulama sırasında kuruluşun sertifika yetkilisi tarafından imzalanmış bir sertifika gereksinimini atlayabilir. Control-M/Agent, yalnızca boş bir kdb keystore kullanıldığında yedek plan olarak güvenilen sabit kodlu (hardcoded) sertifikalar içerir; PKCS#12 keystore kullanıldığında bunlara asla güvenilmez. Bu sertifikaların tamamının süresi dolmuştur. Ek olarak, Control-M/Agent varsayılan kdb ve PKCS#12 keystore'ları, istemci kimlik doğrulaması için güvenilen üçüncü taraf sertifikaları (harici tanınmış CA'ler ve varsayılan kendi kendine imzalı demo sertifikaları) içermektedir.