Weaknesses of type CWE-370
1 resultFalha em verificar revogação de certificado após validação inicial
O aplicativo valida um certificado SSL/TLS uma única vez e não verifica novamente se ele foi revogado durante a sessão. Um certificado pode ser revogado após a conexão inicial (por comprometimento da chave privada, por exemplo), mas o software continua confiando nele, permitindo comunicações com servidores ou clientes comprometidos.
Um cliente VPN valida o certificado do servidor na primeira conexão e permanece conectado por horas. Se o certificado do servidor for revogado no meio da sessão (publicado em uma CRL ou OCSP), o cliente não detecta isso e segue transmitindo dados sensíveis para um servidor potencialmente controlado por atacante.
Implemente verificação periódica de revogação durante sessões de longa duração (OCSP stapling ou CRL refresh) e termine a conexão se a revogação for detectada. Defina timeouts apropriados para revalidação de certificados em conexões permanentes.