CVE-2026-45575 in epa4all-client
Resumen
por VulDB • 2026-05-27
epa4all-client es el cliente Java para epa4all / ePA 3.0 en la Infraestructura Telemática (TI). Antes de la versión 1.2.2, un atacante que pueda realizar un ataque Man-in-the-Middle (MITM) en la conexión TLS entre el cliente y el IDP (dentro de la red TI) puede sustituir un documento de descubrimiento falsificado. El documento falsificado redirige los parámetros uri_puk_idp_enc y uri_puk_idp_sig hacia URLs controladas por el atacante. El cliente cifra entonces la respuesta al desafío firmada por la SMC-B utilizando la clave de cifrado del atacante y la envía mediante POST al punto de autenticación del atacante. Esto permite capturar el material de autenticación firmado. Esta vulnerabilidad se corrige en la versión 1.2.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.