CVE-2020-28942

Versões do PrimeKey EJBCA anteriores à 7.4.3

Existe uma falha ao realizar o cadastro com o EST quando se utiliza um proxy por meio de uma RA (Autoridade de Registro) pelo protocolo Peers, permitindo o cadastro com um certificado de cliente válido por meio de qualquer RA funcional e autenticada conectada à CA (Autoridade Certificadora), contornando a restrição dos certificados de cliente a um conjunto limitado de CAs permitidas. Isso afeta o modelo de segurança de domínio, no qual as restrições do conector de pares não se aplicam conforme pretendido para implementações do EST, ao contrário de outros protocolos, como o CMP. Um invasor já deve possuir um certificado de cliente confiável e autorização para se registrar na CA alvo.

Para versões do PrimeKey EJBCA anteriores à 7.4.3, atualize para a versão 7.4.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à implementação do EST até que a atualização possa ser aplicada. Além disso, revise e reforce os processos de autorização e autenticação para RAs conectadas à CA a fim de minimizar o risco de exploração.