CVE-2025-54947
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Apache StreamPark w wersjach od 2.0.0 do 2.1.7 istnieje podatność związana z twardo zakodowanym kluczem szyfrowania. System używa stałego, niezmiennego klucza zamiast dynamicznego generowania lub bezpiecznej konfiguracji. Atakujący może uzyskać ten klucz poprzez inżynierię wsteczną lub analizę kodu, co może umożliwić odszyfrowanie wrażliwych danych lub fałszowanie zaszyfrowanych informacji, prowadząc do ujawnienia informacji lub nieautoryzowanego dostępu do systemu.
Ocena ryzyka
Ujawnienie twardo zakodowanego klucza może prowadzić do odszyfrowania poufnych danych lub nieautoryzowanego dostępu, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji 2.1.7, która naprawia ten problem, oraz wdrożenie dynamicznego zarządzania kluczami.
Inne podatności w Apache StreamPark
Zobacz wszystkie- CVE-2025-53960Średnie
Apache StreamPark używa hasła użytkownika bezpośrednio jako klucza podpisywania HMAC (np. z algorytmem HS256) podczas wystawiania tokenów JWT. Atakujący może wykorzystać tę podatność do przeprowadzenia ataków brute-force na hasło użytkownika przy użyciu przechwyconego JWT lub do sfałszowania tokenów tożsamości, jeśli hasło jest znane, co prowadzi do pełnego przejęcia konta.
- CVE-2025-54981Wysokie
Słaby algorytm szyfrowania w Apache StreamPark: użycie szyfru AES w trybie ECB oraz słabego generatora liczb losowych do szyfrowania wrażliwych danych, w tym tokenów JWT, mogło narazić na ryzyko ujawnienia wrażliwych danych uwierzytelniających. Problem dotyczy wersji od 2.0.0 do 2.1.7. Zalecane jest uaktualnienie do wersji 2.1.7.
- CVE-2025-30001Wysokie
Apache StreamPark w wersjach od 2.1.4 do 2.1.5 ma podatność związaną z nieprawidłowymi uprawnieniami przypisanymi do wykonania. Problem został naprawiony w wersji 2.1.6.
Oryginalny opis (angielski, źródło NVD)
In Apache StreamPark versions 2.0.0 through 2.1.7, a security vulnerability involving a hard-coded encryption key exists. This vulnerability occurs because the system uses a fixed, immutable key for encryption instead of dynamically generating or securely configuring the key. Attackers may obtain this key through reverse engineering or code analysis, potentially decrypting sensitive data or forging encrypted information, leading to information disclosure or unauthorized system access. This issue affects Apache StreamPark: from 2.0.0 before 2.1.7. Users are recommended to upgrade to version 2.1.7, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS