PT-2026-47839 · Openssl+4 · Openssl+4
Alex Gaynor
+1
·
Publicado
2026-06-09
·
Atualizado
2026-06-13
·
CVE-2026-42769
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
OpenSSL (versões afetadas não especificadas)
Descrição
Um erro no callback utilizado para verificar certificados durante uma atualização de chave de CA Raiz no Protocolo de Gerenciamento de Certificados (CMP) torna a validação do certificado ineficaz. Especificamente, um erro de digitação no código de construção da cadeia de certificados dentro da função
OSSL CMP get1 rootCaKeyUpdate() faz com que um certificado incorreto (newWithOld em vez de oldRoot) seja adicionado à cadeia. Isso permite que um invasor com credenciais válidas de nível de Autoridade de Registro (RA) ignore a verificação de assinatura e substitua o certificado da CA raiz para clientes CMP por um certificado autoassinado arbitrário, escalando efetivamente as credenciais para o nível de Autoridade de Certificação (CA) raiz.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Freebsd
Linuxmint
Openssl
Rocky Linux
Ubuntu