CVE-2025-53960
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Apache StreamPark używa hasła użytkownika bezpośrednio jako klucza podpisywania HMAC (np. z algorytmem HS256) podczas wystawiania tokenów JWT. Atakujący może wykorzystać tę podatność do przeprowadzenia ataków brute-force na hasło użytkownika przy użyciu przechwyconego JWT lub do sfałszowania tokenów tożsamości, jeśli hasło jest znane, co prowadzi do pełnego przejęcia konta.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontem użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji. Ryzyko dotyczy instalacji Apache StreamPark w wersjach od 2.0.0 do 2.1.7.
Rekomendacja
Zaktualizuj Apache StreamPark do wersji 2.1.7 lub nowszej, która naprawia tę podatność.
Inne podatności w Apache StreamPark
Zobacz wszystkie- CVE-2025-54947Krytyczne
W Apache StreamPark w wersjach od 2.0.0 do 2.1.7 istnieje podatność związana z twardo zakodowanym kluczem szyfrowania. System używa stałego, niezmiennego klucza zamiast dynamicznego generowania lub bezpiecznej konfiguracji. Atakujący może uzyskać ten klucz poprzez inżynierię wsteczną lub analizę kodu, co może umożliwić odszyfrowanie wrażliwych danych lub fałszowanie zaszyfrowanych informacji, prowadząc do ujawnienia informacji lub nieautoryzowanego dostępu do systemu.
- CVE-2025-54981Wysokie
Słaby algorytm szyfrowania w Apache StreamPark: użycie szyfru AES w trybie ECB oraz słabego generatora liczb losowych do szyfrowania wrażliwych danych, w tym tokenów JWT, mogło narazić na ryzyko ujawnienia wrażliwych danych uwierzytelniających. Problem dotyczy wersji od 2.0.0 do 2.1.7. Zalecane jest uaktualnienie do wersji 2.1.7.
Oryginalny opis (angielski, źródło NVD)
When issuing JSON Web Tokens (JWT), Apache StreamPark directly uses the user's password as the HMAC signing key (e.g., with the HS256 algorithm). An attacker can exploit this vulnerability to perform offline brute-force attacks on the user's password using a captured JWT, or to arbitrarily forge identity tokens for the user if the password is already known, ultimately leading to complete account takeover. This issue affects Apache StreamPark: from 2.0.0 before 2.1.7. Users are recommended to upgrade to version 2.1.7, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS