CVE-2025-65841
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w Aquarius Desktop 3.0.069 dla macOS polega na przechowywaniu danych uwierzytelniających użytkownika w pliku lokalnym przy użyciu słabego schematu zaciemniania. Hasło jest „szyfrowane” przez przewidywalną substytucję bajtów, którą można łatwo odwrócić, co umożliwia natychmiastowe odzyskanie jawnego tekstu.
Ocena ryzyka
Atakujący mający dostęp do pliku ustawień może przejąć konto ofiary, importując skradzioną konfigurację do własnego klienta lub logując się przez stronę dostawcy. Skutkuje to całkowitym przejęciem konta, nieautoryzowanym dostępem do danych synchronizowanych w chmurze i możliwością wykonywania uwierzytelnionych działań jako ofiara.
Rekomendacja
Należy natychmiast zaktualizować Aquarius Desktop do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do pliku konfiguracyjnego oraz stosowanie silnego uwierzytelniania wieloskładnikowego.
Oryginalny opis (angielski, źródło NVD)
Aquarius Desktop 3.0.069 for macOS stores user authentication credentials in the local file ~/Library/Application Support/Aquarius/aquarius.settings using a weak obfuscation scheme. The password is "encrypted" through predictable byte-substitution that can be trivially reversed, allowing immediate recovery of the plaintext value. Any attacker who can read this settings file can fully compromise the victim's Aquarius account by importing the stolen configuration into their own client or login through the vendor website. This results in complete account takeover, unauthorized access to cloud-synchronized data, and the ability to perform authenticated actions as the user.