发布日期：2004-01-16
更新日期：2004-02-01

受影响系统：

OpenCA OpenCA 0.9.1.6

不受影响系统：

OpenCA OpenCA 0.9.1.7

描述：

---

BUGTRAQ  ID: 9435
CVE(CAN) ID: CVE-2004-0004

OpenCA是一个开放源代码的一个全功能的接口结构，它用来在全PKI环境下管理x509的数字证书。

OpenCA的crypto-utils.lib库存在漏洞，远程攻击者可以利用这个漏洞可导致OpenCA接收恶意证书。

OpenCA包含通用加密操作库 - crypto-utils.lib，这个库包含检查签名(libCheckSignature)的函数，这个函数装载OpenCA数据库中已使用的签名证书，及最后确保已使用的签名证书等同于数据库中的证书。

在数据库中的证书和签名者的证书的对比只执行基于证书序列号的对比，如果签名链可以建立一个OpenCA链目录的受信关系及证书相匹配的序列号存在于已使用的PKI中，受此漏洞影响的函数可以导致接受恶意证书。

<*来源：Michael Bell （michael.bell@cms.hu-berlin.de）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=107427313700554&w=2
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 下面是针对OpenCA 0.9.1.6的补丁：

-----BEGIN PATCH-----
--- src/common/lib/functions/crypto-utils.lib 2004-01-15
12:10:45.000000000 +0100
+++ src/common/lib/functions/crypto-utils.lib.new 2004-01-15
12:10:06.000000000 +0100
@@ -201,7 +201,7 @@
"__ERRVAL__",
$OpenCA::X509::errval);
return undef;
}
- last if ( $tmpCert->getSerial() eq $sigCert->getSerial() );
+ last if ( $tmpCert->getPEM() eq $sigCert->getPEM() );
$sigCert = undef;
}

-----END PATCH-----

厂商补丁：

OpenCA
------
建议用户采用至少比openca-SNAP-20040114.tar.gz新的OpenCA版本：

http://www.openca.org/

浏览次数：2797
严重程度：0（网友投票）