CVE-2019-14222: الشهادة الافتراضية في Alfresco Community

يصدر Alfresco Community الإصدار 5.x وما قبله افتراضيًا مع مجموعة من الشهادات الخاصة المعروفة. أي شخص يقوم بتنزيل وتثبيت برنامج Alfresco Community على جهاز محلي يحصل على إمكانية الوصول إلى هذه الملفات.

بمجرد الحصول عليها، يمكن استخدام هذه المفاتيح الخاصة من أجل:

• الوصول إلى Solr (الذي يستخدم مصادقة شهادة x509)
• شن هجمات MITM نشطة باستخدام شهادة Alfresco موثوقة
• شن هجمات فك تشفير سلبية إذا تم استخدام تشفيرات غير مؤقتة

إفصاح NVD:

يمكن الاطلاع على الإفصاح عن هذه الثغرة هنا.

المتطلبات:

تتطلب هذه الثغرة:

• أن يستخدم تطبيق Alfresco شهادات SSL/TLS الافتراضية

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.