CVE-2026-12249: Canonical ADSys: recuperação de certificado CA via HTTP sem criptografia permite envenenamento do repositório de confiança

Visão geral

A CVE-2026-12249 afeta o Canonical ADSys nas versões upstream até a v0.16.2. Segundo o registro, durante o auto-registro de certificados do AD CS o componente busca o certificado da CA por HTTP sem criptografia, e não por HTTPS. O registro indica que a correção está na v0.16.3, e o aviso de segurança da Ubuntu a referencia.

Impacto

Um atacante posicionado no caminho de rede entre o host gerenciado e o nome de host da CA configurada no AD CS pode adulterar a resposta com o certificado da CA.
Uma Root CA falsa pode ser incluída no repositório de confiança do sistema, fazendo clientes TLS daquele host aceitarem certificados forjados para domínios arbitrários.
Conexões TLS posteriores originadas do host afetado podem ser descriptografadas ou interceptadas.
O registro atribui pontuação CVSS 3.1 base de 9.0 (crítica), com o vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H, e pontuação CVSS 4.0 de 9, ambas fornecidas pelo CNA.

Produtos e versões afetados

Canonical ADSys, versões upstream até a v0.16.2.
Correção indicada na v0.16.3, segundo a descrição do registro.
As listas estruturadas de produtos afetados e de correções do registro estão vazias, por isso a faixa de versões foi extraída do texto da descrição.

Status de exploração

O registro indica kev.listed como falso, portanto a CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
O registro não contém dados de EPSS.

Remediação e mitigação

Atualize o ADSys para a v0.16.3 ou superior, conforme indicado no registro.
Revise o commit de correção para confirmar a mudança no caminho de obtenção de certificados.
Até a aplicação da correção, restrinja os caminhos de rede entre hosts gerenciados e servidores AD CS e limite quem pode interceptar o tráfego nesse segmento.
Revise o repositório de confiança local dos hosts gerenciados em busca de certificados de Root CA inesperados.

Orientação para detecção

Faça o inventário dos hosts com ADSys e registre suas versões.
Audite o repositório de confiança do sistema em busca de certificados raiz que a organização não espera.
Quando a visibilidade de rede permitir, monitore o tráfego relacionado ao AD CS em busca de requisições HTTP sem criptografia ao endpoint de registro da CA.

Limitações das informações disponíveis

O registro não inclui dados CPE, faixas de versões afetadas em formato estruturado nem nomes exatos de pacotes por distribuição.
O registro não informa se o NVD publicou pontuação própria.
Detalhes de exploração e a existência de prova de conceito não são descritos no registro.
A exposição de uma implantação específica depende da topologia de rede, que o registro não descreve.

Perguntas frequentes

Qual é o problema central da CVE-2026-12249?

Segundo o registro, o ADSys solicita o certificado da CA por HTTP sem criptografia durante o auto-registro no AD CS, o que permite a um atacante de rede substituir a Root CA por uma falsa que o sistema passa a confiar.

Quais versões são afetadas?

O registro descreve as versões upstream do ADSys até a v0.16.2 como afetadas e informa que o problema foi resolvido na v0.16.3.

Esta CVE é conhecida por ser explorada na natureza?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que administradores devem fazer?

Atualizar o ADSys para a v0.16.3 ou superior, restringir os caminhos de rede entre hosts gerenciados e servidores AD CS e revisar os repositórios de confiança do sistema em busca de certificados raiz inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.