CVE-2025-34208
Təsvir
Vasion Print (əvvəlki PrinterLogic) Virtual Appliance Host və Tətbiqi (VA/SaaS tətbiqləri), istifadəçi şifrələrini duzlanmamış (unsalted) SHA-512 heşləri ilə saxlayır və alternativ olaraq duzlanmamış SHA-1-dən istifadə edir. Heşləmə prosesi bir neçə faylda (`server_write_requests_users.php`, `update_database.php`, `legacy/Login.php`, `tests/Unit/Api/IdpControllerTest.php`) PHP-nin `hash()` funksiyası vasitəsilə həyata keçirilir. Hər bir istifadəçi üçün ayrıca duz (salt) istifadə edilmir və sürətli heş alqoritmləri şifrələrin saxlanılması üçün uyğun deyil. Şifrə verilənlər bazasını əldə edən hücumçu, oflayn lüğət və ya göyqurşağı cədvəli (rainbow table) hücumları vasitəsilə açıq mətn şifrələrini bərpa edə bilər. Zəiflik olan kod həmçinin daxilolma zamanı köhnə SHA-1 heşlərini SHA-512-yə miqrasiya etdirən məntiq ehtiva edir ki, bu da hələ də köhnə heş sistemində olan istifadəçiləri daha çox riskə atır. Bu zəiflik qismən aradan qaldırılmışdır, lakin köhnə autentifikasiya platformasında hələ də mövcuddur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vasion virtual_appliance_application | Aralıq göstərilməyib | — |
| vasion virtual_appliance_host | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.