CVE-2025-62819
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Keyfactor EJBCA allant jusqu'à la version 9.3.3 incluse constituent un système d'infrastructure à clés publiques (PKI) utilisé pour gérer les certificats numériques. Une faille dans l'interface utilisateur de l'autorité d'enregistrement (RA) permet au système de contourner certains contrôles d'autorisation lors du processus d'auto-renouvellement. Cela signifie que le logiciel ne vérifie pas si les paramètres de profil spécifiques d'un client ou le statut de l'entité devraient, en réalité, lui interdire le renouvellement de son certificat.
Un attaquant peut utiliser cette faille pour maintenir son accès à un réseau en renouvelant un certificat qui aurait dû expirer ou être révoqué, compromettant ainsi l'intégrité du système de gestion des identités. Cette exploitation nécessite que l'attaquant possède déjà un certificat client TLS valide et dispose d'un accès authentifié à l'interface utilisateur de la RA. Puisqu'elle requiert des identifiants existants et des permissions spécifiques, elle ne peut pas être exécutée par une partie externe non authentifiée.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Keyfactor EJBCA through 9.3.3 performs insufficient authorization checks when self-renewing a client certificate via the RA (Registration Authority) User Interface. This allows a remote user, authenticated with a valid client certificate, to renew their certificate even if the end entity status and/or profile settings should deny renewal. The attacker must have a valid TLS client certificate, and must be authorized to use the RA User Interface, either with the certificate, or via a role membership for PublicAccessAuthenticationToken.