Red Hat Certificate System和Dogtag Certificate System授权问题漏洞
CVE编号
CVE-2010-3868利用情况
暂无补丁情况
N/A披露时间
2010-11-18漏洞描述
Red Hat Certificate System是一款认证系统，提供强大的安全框架来确保用户的身份以及通讯的私密性。Red Hat / Dogtag Certificate System的证书颁发机构可被要求对SCEP（简单证书注册协议）协议请求中的一次性PIN进行解密。注册授权服务使用此功能作为CA用户和CA本身的代理。但是，Red Hat Certificate System缺少正确的验证机制以确保此解密请求是否来自已配置的注册授权服务。可以嗅探网络中SCEP请求的攻击者可以利用此缺陷请求解密并获得一次性PIN。Red Hat Certificate System目前更新增加了正当的验证，仅限配置过的已验证的注册授权服务可请求SCEP一次性PIN解密。解决建议
Red Hat Certificate System 7.3和8已经修复此漏洞，建议用户下载使用：https://rhn.redhat.com/errata/RHSA-2010-0837.htmlhttps://rhn.redhat.com/errata/RHSA-2010-0838.html受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | redhat | certificate_system | 7.3 | - | |||||
| 运行在以下环境 | |||||||||
| 应用 | redhat | certificate_system | 8 | - | |||||
| 运行在以下环境 | |||||||||
| 应用 | redhat | dogtag_certificate_system | * | - | |||||
- 攻击路径 网络
- 攻击复杂度 N/A
- 权限要求 无
- 影响范围 N/A
- 用户交互 无
- 可用性 无
- 保密性 部分地
- 完整性 部分地
| CWE-ID | 漏洞类型 |
| CWE-287 | 认证机制不恰当 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论