Podatności Dogtag PKI

W Dogtag PKI, w responderze ACME, ograniczenia bezpieczeństwa web.xml używają dokładnego dopasowania wzorca URL dla punktów końcowych włączania/wyłączania dostępnych tylko dla administratora. Dodanie końcowego ukośnika do URL pozwala nieuwierzytelnionemu atakującemu ominąć ograniczenie Tomcat, podczas gdy RESTEasy nadal kieruje żądanie do handlera, umożliwiając nieautoryzowane przełączanie stanu usługi ACME, w tym trwałą odmowę usługi.

W Dogtag PKI (pki-core) znaleziono podatność w pluginie CMCAuthForEST. Plugin zawodzi w trybie „fail open” (otwarty na awarię), gdy żądanie EST fullcmc jest przesyłane przez BasicAuth bez certyfikatu klienta TLS. Atrybut sesji SSL_CLIENT_CERT zachowuje certyfikat agenta podsystemu EST, co powoduje, że autoryzacja traktuje żądanie jako uprzywilejowane. Uwierzytelniony użytkownik EST może uzyskać certyfikaty podpisane przez CA z dowolnymi nazwami podmiotu.

Podatność w Dogtag PKI, używanym przez komponent certyfikatów FreeIPA. Funkcja importu profili certyfikatów nie w pełni weryfikuje zawartość przesyłanego profilu poza ID profilu. Uwierzytelniony użytkownik z uprawnieniami administratora CA może wykorzystać mechanizm ExternalProcessConstraint do wykonania dowolnych poleceń ze zmiennymi środowiskowymi kontrolowanymi przez atakującego, uzyskując wykonanie kodu jako konto pkiuser.

W Dogtag PKI w komponencie ACME responder stwierdzono, że walidator HTTP-01 akceptuje adresy IP jako identyfikatory DNS i podąża za przekierowaniami HTTP bez weryfikacji, czy cel jest publiczny. Nieuwierzytelniony posiadacz konta ACME może wykorzystać to do SSRF, wysyłając żądania GET do wewnętrznych usług sieciowych. Przy backendzie InMemory odpowiedzi wewnętrznych celów są ujawniane atakującemu przez błąd ACME.