Vulnerabilidad en KeyFactor EJBCA (CVE-2024-36066)

El cliente CMP CLI en KeyFactor EJBCA anterior a la versión 8.3.1 tiene solo 6 octetos de sal y, por lo tanto, no cumple con los requisitos de seguridad de RFC 4211 y podría facilitar los ataques de intermediario. CMP incluye la MAC basada en contraseña como una de las opciones para la integridad y autenticación de mensajes (la otra opción está basada en certificados). La sección 4.4 de RFC 4211 requiere que los parámetros MAC basados en contraseña utilicen una sal con un valor aleatorio de al menos 8 octetos. Esto ayuda a inhibir los ataques de diccionario. Debido a que el cliente CMP independiente originalmente se desarrolló como código de prueba, la sal se codificó de forma rígida y solo tenía 6 octetos de longitud.