CVE-2024-36066

Versões do KeyFactor EJBCA anteriores à 8.3.1

O problema diz respeito ao cliente CMP CLI no KeyFactor EJBCA, que possui um salt codificado com apenas 6 octetos. Isso não está em conformidade com os requisitos de segurança da RFC 4211, que exige um salt com um valor aleatório de pelo menos 8 octetos para parâmetros MAC baseados em senha. O comprimento reduzido do salt pode facilitar ataques man-in-the-middle, uma vez que não inibe efetivamente ataques de dicionário. O cliente CMP inclui o MAC baseado em senha como uma opção para integridade e autenticação de mensagens, sendo a outra opção baseada em certificado.

Para versões anteriores à 8.3.1, atualize para a versão 8.3.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o uso do MAC baseado em senha no cliente CMP até que um patch esteja disponível. Restrinja o acesso ao cliente CLI do CMP para minimizar o risco de exploração. Evite usar a opção de MAC baseado em senha no cliente afetado até que o problema seja resolvido.