CVE-2025-30001

W Apache StreamPark w wersjach od 2.0.0 do 2.1.7 istnieje podatność związana z twardo zakodowanym kluczem szyfrowania. System używa stałego, niezmiennego klucza zamiast dynamicznego generowania lub bezpiecznej konfiguracji. Atakujący może uzyskać ten klucz poprzez inżynierię wsteczną lub analizę kodu, co może umożliwić odszyfrowanie wrażliwych danych lub fałszowanie zaszyfrowanych informacji, prowadząc do ujawnienia informacji lub nieautoryzowanego dostępu do systemu.

Apache StreamPark używa hasła użytkownika bezpośrednio jako klucza podpisywania HMAC (np. z algorytmem HS256) podczas wystawiania tokenów JWT. Atakujący może wykorzystać tę podatność do przeprowadzenia ataków brute-force na hasło użytkownika przy użyciu przechwyconego JWT lub do sfałszowania tokenów tożsamości, jeśli hasło jest znane, co prowadzi do pełnego przejęcia konta.

Słaby algorytm szyfrowania w Apache StreamPark: użycie szyfru AES w trybie ECB oraz słabego generatora liczb losowych do szyfrowania wrażliwych danych, w tym tokenów JWT, mogło narazić na ryzyko ujawnienia wrażliwych danych uwierzytelniających. Problem dotyczy wersji od 2.0.0 do 2.1.7. Zalecane jest uaktualnienie do wersji 2.1.7.