Weaknesses of type CWE-298

7 results

Validação inadequada de expiração de certificado

O software não verifica corretamente se um certificado TLS/SSL já expirou antes de aceitá-lo como válido. Isso permite que certificados vencidos sejam usados para estabelecer conexões criptografadas, abrindo espaço para ataques man-in-the-middle onde um atacante reutiliza um certificado legítimo que já não é mais válido.

Example

Uma aplicação conecta a um servidor HTTPS e valida a assinatura do certificado, mas pula a verificação da data de expiração. Um atacante intercepta a conexão usando um certificado roubado (porém vencido) de uma entidade legítima anos atrás, e a aplicação o aceita como se fosse confiável.

How to mitigate

Implemente validação completa da cadeia de certificados, incluindo verificação obrigatória de datas (notBefore e notAfter). Use bibliotecas modernas de TLS (como OpenSSL atualizado, Go crypto/tls, ou equivalentes) que validam expiração por padrão, e configure testes automatizados para capturar certificados vencidos em ambientes de desenvolvimento e CI/CD.

CVE-2023-42446MEDIUMPow Mnesia cache doesn't invalidate all expired keys on startupEPSS 0.5%CVE-2025-67109CRITICALImproper verification of the time certificate in Eclipse Cyclone DDS before v0.10.5 allows attackers to bypass certificate checks and executEPSS 0.3%CVE-2025-67108CRITICALeProsima Fast-DDS v3.3 was discovered to contain improper validation for ticket revocation, resulting in insecure communications and connectEPSS 0.3%CVE-2025-59036MEDIUMInfrahub allows authentication with deleted and expired API tokensEPSS 0.2%CVE-2024-1248MEDIUMRole Overwriting via Silent JIT Provisioning in Multiple WSO2 Products Enables Privilege EscalationEPSS 0.2%CVE-2025-4384MEDIUMCertificate validity not properly verifiedEPSS 0.1%CVE-2025-61736HIGHiSTAR- Improper Validation of Certificate ExpirationEPSS 0.1%