oCERT による報告：

証明書失効リスト（CRL）チェックを含めて、FreeRADIUS サーバーは OpenSSL　を利用して証明書検証を実行します。CRL アプリケーションで、FreeRADIUS が OpenSSL を使用すると、チェックがリーフ証明書に制限されるため、中間 CA 証明書の失効が検出されません。

そのため、FreeRADIUS は、証明書の失効により中間 CA が発行する期限の切れていないクライアント証明書を受け入れます。

リーフ証明書 CRL チェックに対して X509_V_FLAG_CRL_CHECK フラグを明確に設定しますが、完全トラストチェーンでの CRL チェックに対して X509_V_FLAG_CRL_CHECK_ALL を使用しません。

FreeRADIUS プロジェクトは、全ての EAP-TLS メソッドに対して、推奨構成が自己署名の CA を使用することを推奨します。

検出

FreeBSD：freeradius -- 不十分な CRL アプリケーションの脆弱性（379788f3-2900-11e5-a4a5-002590263bf5）

high Nessus プラグイン ID 84697

変更ログが見つかりません