CVE-2026-104988: обход аутентификации в Dogtag PKI через EST fullcmc приводит к выпуску сертификатов с произвольным субъектом
В Dogtag PKI (pki-core) обнаружена уязвимость обхода аутентификации в плагине CMCAuthForEST: при отправке запроса EST fullcmc через BasicAuth без клиентского TLS-сертификата конечного пользователя проверки авторизации ошибочно считают запрос привилегированным. Аутентифицированный пользователь EST может получить подписанные CA сертификаты с произвольными именами субъектов. Критичность — высокая (CVSS 8.1).
Подробности
Уязвимость затрагивает плагин аутентификации CMCAuthForEST. При отправке запроса на регистрацию по протоколу EST в режиме fullcmc через BasicAuth — без клиентского TLS-сертификата конечного пользователя — плагин срабатывает по принципу fail open, то есть при отсутствии ожидаемых данных проверка не блокирует запрос, а пропускает его. Ключевая причина — атрибут сессии SSL_CLIENT_CERT, который сохраняет сертификат агента подсистемы EST. Из-за этого последующие проверки авторизации трактуют входящий запрос как поступивший от привилегированного агента. В результате аутентифицированный пользователь EST может эксплуатировать эту особенность и получать сертификаты, подписанные CA, с произвольными именами субъектов (arbitrary subject). Это означает потенциальную возможность выпуска сертификатов для доменов, узлов или identities, которыми злоумышленник не должен управлять, что подрывает доверие к инфраструктуре открытых ключей. Под уязвимость подпадают следующие продукты Red Hat: - Red Hat Certificate System 9, 10, 11; - Red Hat Enterprise Linux 6, 7, 8, 9, 10. Уязвимость относится к классу CWE-связанных с некорректной проверкой аутентификации и авторизации (authentication bypass), усугублённой логикой fail open.Что делать
Основная рекомендация — как можно скорее применить обновления, выпущенные Red Hat для затронутых версий Certificate System и соответствующих каналов RHEL. Следите за официальными эрратами вендора и Red Hat Security Advisory по данному CVE: исправление затрагивает логику работы CMCAuthForEST и обработку атрибута SSL_CLIENT_CERT. Если немедленное обновление невозможно, рассмотрите временные компенсирующие меры: - ограничьте доступ к интерфейсам EST, требующим fullcmc, только доверенными сегментами сети и строго необходимыми учётными записями; - по возможности отключите или ограничьте использование режима fullcmc до установки патча; - усильте мониторинг журналов CA и подсистемы EST на предмет запросов на выпуск сертификатов с необычными или неожиданными субъектами; - проведите аудит уже выпущенных сертификатов, особенно выданных через EST, на предмет аномальных имён субъектов, и при необходимости отзовите подозрительные сертификаты. Также рекомендуется проверить, какие учётные записи имеют право взаимодействовать с EST, и пересмотреть политики авторизации, чтобы исключить избыточные привилегии. Итог: CVE-2026-104988 — серьёзная уязвимость в Dogtag PKI, позволяющая обойти проверку подлинности и выпустить сертификат с произвольным субъектом от имени CA. Учитывая высокую оценку CVSS 8.1 и широкий охват продуктов Red Hat, обновление следует установить в приоритетном порядке, а до этого — ограничить доступ к EST и усилить контроль за выпуском сертификатов.Источник: CVE Project (cvelistV5)