CVE-2019-14222: Alfresco Community में डिफ़ॉल्ट प्रमाणपत्र

Alfresco Community 5.x और इससे नीचे के संस्करण डिफ़ॉल्ट रूप से ज्ञात निजी प्रमाणपत्रों का एक सेट लेकर आते हैं। कोई भी व्यक्ति जो स्थानीय मशीन पर Alfresco Community सॉफ़्टवेयर डाउनलोड और इंस्टॉल करता है, उसे इन फ़ाइलों तक पहुंच मिल जाती है।

एक बार प्राप्त होने के बाद, इन निजी कुंजियों का उपयोग किया जा सकता है:

• Solr तक पहुंच प्राप्त करना (जो x509 प्रमाणपत्र प्रमाणीकरण का उपयोग करता है)
• एक विश्वसनीय Alfresco प्रमाणपत्र का उपयोग करके सक्रिय MITM हमले शुरू करना
• यदि गैर-एपीमेरल सिफर का उपयोग किया जाता है तो निष्क्रिय डिक्रिप्शन हमले शुरू करना

NVD प्रकटीकरण:

इस कमजोरी का प्रकटीकरण यहाँ पाया जा सकता है।

आवश्यकताएँ:

इस कमजोरी के लिए आवश्यक है:

• कि Alfresco एप्लिकेशन डिफ़ॉल्ट SSL/TLS प्रमाणपत्रों का उपयोग करता है

साक्ष्य की अवधारणा:

अधिक विवरण और शोषण प्रक्रिया इस PDF में पाई जा सकती है।