CVE-2019-14222: Alfresco Communityのデフォルト証明書

Alfresco Community 5.x以下には、デフォルトで既知の秘密証明書のセットが同梱されています。ローカルマシンにAlfresco Communityソフトウェアをダウンロードしてインストールした人は誰でも、これらのファイルにアクセスできます。

これらの秘密鍵を入手すると、以下のことが可能になります：

• Solrへのアクセスを取得（x509証明書認証を使用）
• 信頼されたAlfresco証明書を使用してアクティブなMITM攻撃を開始
• Non-Ephemeral暗号が使用されている場合、パッシブな復号化攻撃を開始

NVD開示情報:

この脆弱性の開示情報はこちらにあります。

必要条件:

この脆弱性には以下が必要です：

• AlfrescoアプリケーションがデフォルトのSSL/TLS証明書を使用していること

概念実証:

詳細と悪用プロセスはこのPDFにあります。