PT-2025-49107 · Step Ca · Step Ca

Stephen Kubik · Publicado 2025-12-03 · Atualizado 2026-02-13 · CVE-2025-44005

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Step CA (versões afetadas não especificadas)

Descrição Uma falha crítica no Step CA permite um contorno sem autenticação, possibilitando a emissão de certificados fraudulentos. Isso compromete a confiança em potencialmente milhões de sites. A falha permite que invasores contornem medidas de segurança e gerem certificados digitais não autorizados, que poderiam ser usados para fins maliciosos, como phishing ou ataques man-in-the-middle.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authentication

Improper Authentication

Enumeração de Fraquezas

CWE-306

CWE-287

Identificadores relacionados

CLEANSTART-2026-KV78041

CVE-2025-44005

GHSA-H8CP-697H-8C8P

GO-2025-4180

SUSE-SU-2025:4395-1

Produtos afetados

Step Ca

Referências · 92

• https://github.com/smallstep/certificates · Nota
• https://github.com/smallstep/certificates/security/advisories/GHSA-h8cp-697h-8c8p · Aviso do Fabricante
• https://github.com/smallstep/certificates/commit/1011f5f5408b470a636f583bf74c0d7bbaf75d72 · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-KV78041 · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-KV78041.json · Nota
• https://suse.com/security/cve/CVE-2017-18871 · Nota
• https://twitter.com/cracbot/status/2003057992565174711 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-64751 · Nota
• https://osv.dev/vulnerability/CVE-2025-58189 · Nota
• https://twitter.com/TheHackerWire/status/2001337508756623489 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-58183 · Nota de Segurança
• https://suse.com/support/update/announcement/2025/suse-su-20254395-1 · Nota
• https://suse.com/security/cve/CVE-2017-18884 · Nota
• https://osv.dev/vulnerability/CVE-2025-47914 · Nota
• https://osv.dev/vulnerability/CVE-2025-61729 · Nota