CVE-2019-14222: Certificado predeterminado en Alfresco Community

Alfresco Community 5.x y versiones anteriores incluye por defecto un conjunto de certificados privados conocidos. Cualquier persona que descargue e instale el software Alfresco Community en una máquina local obtiene acceso a estos archivos.

Una vez obtenidas, estas claves privadas pueden utilizarse para:

• Obtener acceso a Solr (que utiliza autenticación mediante certificados x509)
• Lanzar ataques MITM activos utilizando un certificado Alfresco de confianza
• Lanzar ataques pasivos de descifrado si se utilizan cifrados no efímeros

Divulgación NVD:

La divulgación de esta vulnerabilidad se puede encontrar aquí.

Requisitos:

Esta vulnerabilidad requiere:

• Que la aplicación Alfresco utilice los certificados SSL/TLS predeterminados

Prueba de concepto:

Más detalles y el proceso de explotación se pueden encontrar en este PDF.