PT-2025-26485 · Unknown · Rfc3161-Client

Woodruffw · Publicado 2025-06-20 · Atualizado 2025-07-03 · CVE-2025-52556

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: rfc3161-client versões anteriores à 1.0.3

Descrição: O problema está relacionado a uma falha na lógica de verificação de assinatura da resposta de carimbo de tempo. Especificamente, a verificação da cadeia é realizada em relação aos certificados embutidos do TSR até a(s) raiz(es) confiável(eis), mas falha ao verificar a própria assinatura do TSR contra os certificados folha de carimbo de tempo. Isso permite que um atacante introduza qualquer assinatura TSR, desde que o certificado folha embutido encadeie até alguma TSA raiz, resultando em validação de assinatura insuficiente.

Recomendações: Para versões anteriores à 1.0.3, atualize para a versão 1.0.3 para resolver o problema. Como solução alternativa temporária, considere restringir o uso da lógica de verificação de assinatura da resposta de carimbo de tempo até que um patch esteja disponível.

Exploit

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2025-52556

GHSA-6QHV-4H7R-2G9M

OPENSUSE-SU-2025:15282-1

Produtos afetados

Rfc3161-Client

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/52xxx/CVE-2025-52556.json · Exploit
• https://github.com/trailofbits/rfc3161-client · Nota
• https://github.com/trailofbits/rfc3161-client/security/advisories/GHSA-6qhv-4h7r-2g9m · Nota
• https://github.com/trailofbits/rfc3161-client/commit/724a184f953e3f171f85cb223871172b41b0d0dc · Nota
• https://twitter.com/VulmonFeeds/status/1936325847608082718 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-52556 · Aviso do Fabricante
• https://t.me/latest_high_impact_cve/2748 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-6qhv-4h7r-2g9m · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1936472504672952347 · Publicação no Twitter
• https://osv.dev/vulnerability/openSUSE-SU-2025:15282-1 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/1937159754498904167 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-52556 · Nota de Segurança
• https://t.me/cvenotify/126330 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2025-52556 · Nota
• https://t.me/cvetracker/26727 · Publicação no Telegram