Alexander Scheel

**Nome do software vulnerável e versões afetadas: pki-core (versões afetadas não especificadas) Descrição: Foi detectada uma falha no pki-core que permite que um invasor que tenha comprometido uma chave renove o certificado correspondente repetidamente, desde que este não seja explicitamente revogado. A principal ameaça decorrente dessa vulnerabilidade é à confidencialidade e integridade dos dados. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** JSS' CryptoManager versions after 4.4.6, 4.5.3, 4.6.0 **Description** A flaw was found in the "Leaf and Chain" OCSP policy implementation where it implicitly trusted the root certificate of a certificate chain. Applications using this policy may not properly verify the chain and could be vulnerable to attacks such as Man in the Middle. **Recommendations** For JSS' CryptoManager versions after 4.4.6, 4.5.3, 4.6.0, consider disabling the "Leaf and Chain" OCSP policy until a patch is available to prevent implicit trust of the root certificate. Restrict access to applications using this policy to minimize the risk of exploitation. Avoid using the affected CryptoManager versions in sensitive environments until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.