CVE-2020-16164

Validador RPKI do RIPE NCC, versões 3.x a 3.1-2020.07.06.14.28

A vulnerabilidade permite que invasores remotos contornem restrições de acesso pretendidas ou causem uma negação de serviço em sistemas de roteamento dependentes, ocultando estrategicamente arquivos de Autorização de Origem de Rota RPKI (“.roa”) ou arquivos da Lista de Revogação de Certificados X509 da visão da parte confiável do RPKI. Existe uma vulnerabilidade na validação do manifesto RPKI quando objetos no manifesto são ocultados ou objetos expirados são reproduzidos, o que poderia impedir que novos ROAs fossem recebidos ou ocultar seletivamente ROAs, fazendo com que as rotas se tornassem INVÁLIDAS. Para explorar essa vulnerabilidade, um invasor precisaria realizar um ataque man-in-the-middle na conexão TLS entre o validador e um repositório RRDP ou realizar um ataque man-in-the-middle contra um repositório somente rsync.

Para resolver a vulnerabilidade, atualize o Validador RPKI do RIPE NCC para uma versão que implemente métodos de validação da RFC 6486bis e habilite a validação estrita por padrão.

Como solução temporária, considere restringir o acesso à visualização da parte confiável do RPKI para minimizar o risco de exploração.

Restrinja o uso de arquivos .roa ou arquivos da Lista de Revogação de Certificados X509 para impedir que esses arquivos sejam ocultados da visualização da parte confiável do RPKI.