CVE-2025-54981
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Słaby algorytm szyfrowania w Apache StreamPark: użycie szyfru AES w trybie ECB oraz słabego generatora liczb losowych do szyfrowania wrażliwych danych, w tym tokenów JWT, mogło narazić na ryzyko ujawnienia wrażliwych danych uwierzytelniających. Problem dotyczy wersji od 2.0.0 do 2.1.7. Zalecane jest uaktualnienie do wersji 2.1.7.
Ocena ryzyka
Ryzyko obejmuje możliwość ujawnienia tokenów JWT i innych wrażliwych danych uwierzytelniających, co może prowadzić do nieautoryzowanego dostępu do systemu. Atakujący może przejąć sesje użytkowników i uzyskać pełną kontrolę nad aplikacją.
Rekomendacja
Zaleca się natychmiastowe uaktualnienie Apache StreamPark do wersji 2.1.7, która zawiera poprawkę. Należy również rozważyć rotację wszystkich tokenów JWT i kluczy szyfrujących.
Inne podatności w Apache StreamPark
Zobacz wszystkie- CVE-2025-54947Krytyczne
W Apache StreamPark w wersjach od 2.0.0 do 2.1.7 istnieje podatność związana z twardo zakodowanym kluczem szyfrowania. System używa stałego, niezmiennego klucza zamiast dynamicznego generowania lub bezpiecznej konfiguracji. Atakujący może uzyskać ten klucz poprzez inżynierię wsteczną lub analizę kodu, co może umożliwić odszyfrowanie wrażliwych danych lub fałszowanie zaszyfrowanych informacji, prowadząc do ujawnienia informacji lub nieautoryzowanego dostępu do systemu.
- CVE-2025-53960Średnie
Apache StreamPark używa hasła użytkownika bezpośrednio jako klucza podpisywania HMAC (np. z algorytmem HS256) podczas wystawiania tokenów JWT. Atakujący może wykorzystać tę podatność do przeprowadzenia ataków brute-force na hasło użytkownika przy użyciu przechwyconego JWT lub do sfałszowania tokenów tożsamości, jeśli hasło jest znane, co prowadzi do pełnego przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
Weak Encryption Algorithm in StreamPark, The use of an AES cipher in ECB mode and a weak random number generator for encrypting sensitive data, including JWT tokens, may have risked exposing sensitive authentication data This issue affects Apache StreamPark: from 2.0.0 before 2.1.7. Users are recommended to upgrade to version 2.1.7, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS