CVE-2021-3761

Versões do OctoRPKI anteriores à 1.3.0

Qualquer emissor de CA no RPKI pode induzir o OctoRPKI a emitir um valor “MaxLength” inválido para o VRP, causando o encerramento das sessões RTR. Um invasor pode usar isso para desativar a validação de origem RPKI em uma rede vítima, por exemplo, AS 13335 - Cloudflare, antes de lançar um sequestro de BGP que, durante operações normais, seria rejeitado como “RPKI inválido”. Além disso, em certas implantações, a instabilidade da sessão RTR por si só também poderia causar instabilidade no roteamento BGP, causando problemas de disponibilidade.

Para versões do OctoRPKI anteriores à 1.3.0, atualize para a versão 1.3.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às sessões RTR para minimizar o risco de exploração. Evite usar o campo MaxLength no VRP até que o problema seja resolvido.