Уязвимость установки сертификата WDKTestCert с возможностью подписи кода в RustDesk 1.2.3 для Windows
Описание
При установке RustDesk версии 1.2.3 на Windows по умолчанию добавляется сертификат WDKTestCert в хранилище доверенных корневых центров сертификации. Этот сертификат имеет расширенное использование ключа (Enhanced Key Usage) для подписи кода (1.3.6.1.5.5.7.3.3) и действителен с 2023 по 2033 год. Такое поведение может быть нежелательным, так как отсутствует публичная документация о мерах безопасности для закрытого ключа. В случае компрометации закрытого ключа злоумышленник может подписывать произвольное программное обеспечение.
Примечание: Позиция разработчика заключается в следующем: "У нас нет EV-сертификата, поэтому мы используем тестовый сертификат как временное решение." Добавление сертификата в доверенные корневые центры сертификации было изначально запланированным поведением, а интерфейс установки гарантировал, что шаг установки сертификата (отмеченный по умолчанию) был виден пользователю перед продолжением установки продукта.
Затронутые версии ПО
- RustDesk 1.2.3
Тип уязвимости
Некорректная обработка сертификатов (установка небезопасного сертификата)
Ссылки
- ExploitIssue Tracking
- Issue Tracking
- Issue TrackingTechnical Description
- ExploitIssue Tracking
- Issue Tracking
- Issue TrackingTechnical Description
Уязвимые конфигурации
Одновременно
EPSS
9.8 Critical
CVSS3
Дефекты
Связанные уязвимости
A default installation of RustDesk 1.2.3 on Windows places a WDKTestCert certificate under Trusted Root Certification Authorities with Enhanced Key Usage of Code Signing (1.3.6.1.5.5.7.3.3), valid from 2023 until 2033. This is potentially unwanted, e.g., because there is no public documentation of security measures for the private key, and arbitrary software could be signed if the private key were to be compromised. NOTE: the vendor's position is "we do not have EV cert, so we use test cert as a workaround." Insertion into Trusted Root Certification Authorities was the originally intended behavior, and the UI ensured that the certificate installation step (checked by default) was visible to the user before proceeding with the product installation.
EPSS
9.8 Critical
CVSS3