¿Es la falta de una dirección IP en el campo AN de un certificado SSL una vulnerabilidad?

  

¿Se consideraría esto una vulnerabilidad de bajo riesgo?

Sí.

  

Si un atacante puede forzar el uso de una dirección IP, seguramente el   El certificado ya no tiene ningún valor en este punto (a menos que esté instalado   en una máquina cliente)?

No estoy seguro de entender la pregunta. Incluso si una dirección IP es forzada por un atacante y la dirección IP no está definida como una SAN, el tráfico seguirá encriptado.

Sin embargo, tenga en cuenta que RFC 6125 recomienda no usar estrictamente una dirección IP como nombre definido:

  

Algunas autoridades de certificación emiten certificados de servidor basados en         Direcciones IP, pero la evidencia preliminar indica que tales         Los certificados son un porcentaje muy pequeño (menos del 1%) de los emitidos         certificados Además, las direcciones IP no son necesariamente         identificadores confiables para los servicios de aplicación debido a la         existencia de redes privadas [PRIVADAS], movilidad de host, múltiples         interfaces en un host determinado, traductores de direcciones de red (NAT)         resultando en diferentes direcciones para un host de diferentes         ubicaciones en la red, la práctica de agrupar muchos hosts         juntos detrás de una sola dirección IP, etc. Fundamentalmente,         la mayoría de los usuarios encuentran los nombres de dominio DNS mucho más fáciles de trabajar que IP         direcciones, por lo que el sistema de nombres de dominio fue diseñado en el         primer lugar. Preferimos definir las mejores prácticas para el mucho más.         caso de uso común y no para complicar las reglas en este         especificación.

ACTUALIZACIÓN:

Parece que Symantec, junto con otras CA, ya no emitirá certificados sin un FQDN válido.

  

Por este motivo, las principales Autoridades de Certificación, incluyendo Symantec, que conforman el Foro de Autoridad de Certificación / Navegador (Foro CA / B) han decidido dejar de emitir certificados sin un Nombre de dominio completo (FQDN).

Consulte: enlace

Sí, el certificado es de valor. Si el atacante puede "forzar el uso de una dirección IP", como lo ha indicado, se le notificará al usuario que hay algo incorrecto y no debe continuar.