CVE-2026-15243 in CAS Client
Zusammenfassung
von VulDB • 24.07.2026
Der Apereo CAS-Client akzeptiert jedes von einer CA vertraute Zertifikat für jeden Hostnamen, sofern die URL, auf die der Client zugreift, mit der konfigurierten Allowlist oder dem regulären Ausdruck übereinstimmt. Ein Angreifer in einer Man-in-the-Middle (MITM)-Position (z. B. durch DNS-Poisoning, böswilliges WLAN oder einen bösartigen Proxy) kann ein beliebiges von einer CA signiertes Zertifikat für einen Hostnamen bereitstellen, der mit der konfigurierten Allowlist oder dem regulären Ausdruck übereinstimmt. Dies kann dazu führen, dass die CAS-Austauschdaten abgefangen und das Ticket-Granting-Ticket (TGT) erfasst werden, wodurch es anschließend möglich ist, Service Tickets im Namen des Opfers zu erhalten.
Da Versuche zur Kontaktaufnahme mit den Maintern erfolglos blieben, wurden Schwachstellen nur in Version 4.1.0 (Java Apereo CAS Client) und 3.6.4 (Jasig CAS Client) bestätigt, sie können jedoch auch andere Versionen betreffen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.