CVE-2025-49506

WysokieCVSS 7.5

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 07/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Funkcja apr_password_validate() w bibliotece APR-util w wersjach 1.6.3 i wcześniejszych nie porównywała haseł i skrótów w czasie stałym, co umożliwiało wyciek ich zawartości poprzez atak typu side-channel timing, szczególnie na platformach bez funkcji crypt(), takich jak Windows, BeOS, NetWare czy Android.

Ocena ryzyka

Atakujący może wykorzystać pomiary czasu odpowiedzi do odtworzenia haseł lub skrótów, co prowadzi do naruszenia poufności danych uwierzytelniających i potencjalnego przejęcia kont.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki APR-util do wersji 1.6.4 lub nowszej, która eliminuje tę podatność.

Inne podatności w APR-util

CVE-2026-32327Krytyczne
Błąd w APR-util w wersji 1.6.3 i wcześniejszych pozwala na atak rekurencji stosu przeciwko każdemu konsumentowi biblioteki, który parsuje XML z niezaufanych źródeł i używa funkcji apr_xml_quote_elem(). Zaleca się aktualizację do wersji 1.6.4, która zawiera poprawkę.

Oryginalny opis (angielski, źródło NVD)

APR-util versions 1.6.3 (and earlier) function apr_password_validate() was not constant-time with regards to hashes or passwords comparisons, potentially leaking their content via a side channel timing attack particularly on platforms without crypt() such as Windows, BeOS, NetWare, or Android. Users are recommended to upgrade to version 1.6.4, which fixes this issue.