CVE-2026-54342

Nome do Software Vulnerável e Versões Afetadas epa4all versões anteriores a 2026-05-20

Descrição Um invasor posicionado no caminho da rede entre o software e qualquer backend (ePA Aktensystem, Konnektor, IDP ou TSS) pode interceptar a conexão apresentando um certificado TLS autoassinado. Para conexões não-VAU, como aquelas com Konnektor ou IDP, isso permite que o invasor leia e modifique o tráfego interno, incluindo trocas de autenticação OIDC e operações de smartcard. Para o backend ePA, a falta de verificação TLS serve como um facilitador de nível de transporte para um ataque de Man-in-the-Middle (MITM).

Recomendações Atualizar para a versão 2026-05-20.