CVE-2026-15243 in CAS Client
요약
\~에 의해 VulDB • 2026. 07. 24.
Apereo CAS 클라이언트는 호출하는 URL이 구성된 허용 목록(allowlist) 또는 정규식(regex)과 일치하는 경우, 모든 호스트 이름에 대해 CA 신뢰 인증서를 수락합니다. MITM 위치(DNS 포이즈닝, 악성 Wi-Fi, 악의적 프록시 등)를 차지한 공격자는 구성된 허용 목록이나 정규식과 일치하는 호스트 이름에 대한 임의의 CA 서명 인증서를 제공할 수 있습니다. 이로 인해 CAS 교환이 가로채지고 티켓 부여 티켓(TGT: Ticket-Granting Ticket)이 캡처되어 결과적으로 피해자를 대신하여 서비스 티켓을 획득할 수 있게 됩니다.
유지 관리자의 연락 시도에도 불구하고 실패했기 때문에, 취약점은 버전 4.1.0(Java Apereo CAS Client)과 3.6.4(Jasig CAS Client)에서만 확인되었지만 다른 버전에서도 영향을 미칠 가능성이 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.