CVE-2019-14222: Сертификат по умолчанию в Alfresco Community

Alfresco Community 5.x и ниже поставляется по умолчанию с набором известных частных сертификатов. Любой, кто загружает и устанавливает программное обеспечение Alfresco Community на локальную машину, получает доступ к этим файлам.

После получения эти закрытые ключи могут быть использованы для:

• Получения доступа к Solr (который использует аутентификацию по сертификату x509)
• Запуска активных MITM-атак с использованием доверенного сертификата Alfresco
• Запуска пассивных атак расшифровки при использовании неэфимерных шифров

Раскрытие NVD:

Раскрытие данной уязвимости можно найти здесь.

Требования:

Эта уязвимость требует:

• Чтобы приложение Alfresco использовало сертификаты SSL/TLS по умолчанию

Доказательство концепции:

Более подробная информация и процесс эксплуатации представлены в этом PDF.