執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機上安裝的 pki-core 套件受到多個弱點影響：

  - 在 pki-core 伺服器的所有 pki-core 10.x.x 版本模組中發現一個反射式跨網站指令碼瑕疵，這是因為 CA Agent Service 未正確清理憑證要求頁面所導致。攻擊者可插入特製的值，在受害者的瀏覽器上執行。(CVE-2019-10146)

  - 在所有pki-core 10.x.x 版本中發現一個弱點，其中 Key Recovery Authority (KRA) Agent Service 未正確清理復原要求搜尋頁面，這會激活反映式跨網站指令碼 (XSS) 弱點。攻擊者可誘騙經驗證的受害者執行特製的 Javascript 程式碼。(CVE-2019-10179)

  - 在所有 pki-core 10.x.x 版本中發現一個反映式跨網站指令碼弱點，其中 pki-ca 模組來自 pki-core 伺服器。此瑕疵是因為缺少對 GET URL 參數的清理所導致。攻擊者可濫用此瑕疵，誘騙經驗證的使用者點按特製的連結，當使用者在瀏覽器中檢視時，此連結可執行任意程式碼。(CVE-2019-10221)

  - 在 pki-core 10.10.5 中的金鑰復原授權單位 (KRA) 代理程式服務中發現一個弱點，其在金鑰復原要求期間未正確清理復原 ID，進而造成反映式跨網站指令碼 (XSS) 弱點。攻擊者可誘騙經驗證的受害者執行特製的 Javascript 程式碼。(CVE-2020-1721)

  - 在 pki-core 10.9.0 中發現一個瑕疵。特製的 POST 要求可用於反映 DOM 型跨網站指令碼 (XSS) 攻擊，以將程式碼插入可自動執行的搜尋查詢表單中。此弱點對資料完整性的威脅最大。(CVE-2020-25715)

  - 在 pki-core 中發現一個瑕疵。成功入侵金鑰的攻擊者可利用此瑕疵，只要未明確撤銷，即可再三更新對應憑證。此弱點對資料機密性與完整性的威脅最大。(CVE-2021-20179)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

NewStart CGSL CORE 5.04 / MAIN 5.04：pki-core 多個弱點 (NS-SA-2021-0102)

high Nessus Plugin ID 154479

找不到依附元件