CVE-2026-45581
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W wersjach od 2.3.1 do przed 2.5.10, w trybie chaincode-as-a-service z włączonym TLS, logi serwera chaincode zawierają hasło do prywatnego klucza TLS w postaci niezaszyfrowanej. To umożliwia atakującemu, który ma dostęp do logów, odzyskanie hasła.
Ocena ryzyka
Atakujący mogą wykorzystać ujawnione hasło do przejęcia tożsamości serwera chaincode, co może prowadzić do poważnych naruszeń bezpieczeństwa w systemie.
Rekomendacja
Zaleca się aktualizację do wersji 2.5.10 lub nowszej, aby usunąć tę podatność oraz ograniczenie dostępu do logów serwera chaincode.
Oryginalny opis (angielski, źródło NVD)
fabric-chaincode-java is a Java based implementation of Hyperledger Fabric chaincode shim APIs. From version 2.3.1 to before version 2.5.10, when chaincode is deployed in chaincode-as-a-service mode with TLS enabled, the chaincode server INFO level logging includes the TLS private key password in plaintext. An attacker with access to the chaincode server logs could recover the TLS private key password. If the attacker can also obtain the TLS private key, they could impersonate the chaincode server. This issue has been patched in version 2.5.10.