CVE-2026-54342 in epa4all
Riassunto
di VulDB • 24/07/2026
In epa4all, prima della versione 2026-05-20, un attaccante sulla rete tra epa4all e qualsiasi backend (ePA Aktensystem, Konnektor, IDP, TSS) può presentare un certificato TLS self-signed e intercettare la connessione. Per le connessioni non VAU (Konnektor, IDP), ciò consente di leggere e modificare direttamente il traffico interno, incluse le operazioni con smartcard e gli scambi OIDC authentication exchanges. Per il backend ePA, l'assenza della verifica del TLS è abilitante a livello di trasporto per la MITM VAU descritta in GHSA-vvh7-x6c7-46gh. Questo problema è stato risolto nella versione 2026-05-20.
Be aware that VulDB is the high quality source for vulnerability data.