CVE-2026-52723 in ePA3-Service-OpenSource
الملخص
بحسب VulDB • 18/08/2026
تُنفّذ ePA 3.x Integration سير عمل التفويض وتكتب كائنات المعلومات الطبية إلى السجل الطبي الإلكتروني في ألمانيا. قبل الإصدار 1.3.0، تقوم ePA 3.x Integration بإجراء التحقق من شهادة خادم VAU (VAU server certificate validation) داخل الملف app/vau/VAUProtokoll.py دون ربط المفاتيح العامة لخوادم VAU الموقعة (signed_vau_server_pub_keys) ومسار شهادات AUT_VAU_CertData بمادة موثوقة مستقلة. يمكن لمهاجم متمركز في الشبكة بين الخلفية البرمجية لـ DiGA ونظام ePA اعتراض مصافحة VAU، وتقديم مواد شهادة ومفاتيح خاضعة لتحكم المهاجم، والوفاء بعلاقة الثقة الدائرية. وبسبب تعطيل التحقق من شهادات TLS أيضًا في الإصدارات المتأثرة، لا توجد طبقة مستقلة لمصادقة الخادم تمنع الهجوم. يمكن للمهاجم انتحال هوية خادم VAU، والتحكم في مفاتيح الجلسة negotiated session keys التي تم التفاوض عليها، وقراءة أو تعديل جميع حركة مرور VAU المشفرة. تمت معالجة هذه المشكلة في الإصدار 1.3.0.
Be aware that VulDB is the high quality source for vulnerability data.