CVE-2020-5229

8.1 versiyasından əvvəlki Opencast şifrələri kifayət qədər köhnəlmiş və kriptoqrafik cəhətdən təhlükəsiz olmayan MD5 heş alqoritmi ilə saxlayır. Bundan əlavə, heşlər təsadüfi duz (salt) yerinə istifadəçi adı ilə duzlanır ki, bu da eyni istifadəçi adına və şifrəyə malik olan istifadəçilərin heşlərinin üst-üstə düşməsinə səbəb olur; bu, xüsusilə standart `admin` istifadəçisi kimi populyar istifadəçilər üçün problemlidir. Bu, əslində o deməkdir ki, hücumçu həmin heşlərə giriş əldə etdikdə istifadəçinin şifrəsini bərpa edə bilər. Qeyd edək ki, hücumçuların heşlərə girişi olması üçün onlar əvvəlcə şifrələrin saxlandığı verilənlər bazasına daxil olmalıdırlar ki, sonra şifrələri sındırmağa başlasınlar. Problem, şifrələrin saxlanması üçün artıq müasir və daha güclü bcrypt şifrə heşləmə alqoritmindən istifadə edən Opencast 8.1 versiyasında həll edilmişdir. Nəzərə alın ki, köhnə heşlər şifrə yenilənənə qədər MD5 olaraq qalır. Şifrə heşləri MD5 ilə saxlanılan istifadəçilərin siyahısı üçün `/user-utils/users/md5.json` REST son nöqtəsinə (endpoint) baxın.