CVE-2026-0857

Mesalvo MEONA (MEONA Server və MEONA Client) proqramında şifrələri sonuncu dəfə MEONA 2024.10 versiyasından əvvəl təyin edilmiş istifadəçi hesabları üçün kifayət etməyən hesablama səyləri ilə parol heşinin istifadəsindən qaynaqlanan boşluq mövcuddur. 2024.10 versiyasından əvvəlki MEONA versiyaları saxlanılan şifrələri SHA-1 (oktyabr 2015-ci ildən olan versiyalar) ilə qorumuş və ya onları qorumasız saxlamışdır (daha erkən versiyalar). MEONA 2024.10 (iyun 2024) versiyasından etibarən standart metod Argon2-dir və təyin edilən və ya dəyişdirilən hər bir şifrə Argon2 ilə saxlanılır; daha erkən versiyalarda təyin edilmiş şifrələr dəyişilənə qədər köhnə metodu saxlayır. Administrator, əlavə olaraq, hər bir hesab üçün saxlama metodunu seçə bilirdi. MEONA super administratoru belə hesabların saxlanılan dəyərlərini MEONA Client-in istifadəçi administrasiyasında oxuya və ya inzibati verilənlər bazası funksiyaları vasitəsilə ixrac edə bilər. Yalnız MEONA-da lokal idarə olunan hesablar təsirlənir; xəstəxananın kataloq xidməti (Active Directory / Entra ID) vasitəsilə autentifikasiya olunan hesabların şifrələri MEONA-da saxlanılmır. Tipik quraşdırmalarda son istifadəçilər kataloq xidməti vasitəsilə autentifikasiyadan keçir və lokal hesablar yalnız fövqəladə və texniki hesablarla məhdudlaşır. Boşluğun istismarı üçün xəstəxananın şəbəkəsi daxilində MEONA-da super administrator icazələri (və ya MEONA verilənlər bazasına birbaşa giriş) tələb olunur; MEONA eksklüziv olaraq ictimai internetə açıq olmayan qapalı xəstəxana şəbəkələrində işlədilir və xəstəxanaların həmin şəbəkəyə uzaqdan girişi icazə verdiyi hallarda bu, yalnız xəstəxananın nəzarəti altında olan öz uzaqdan giriş infrastrukturu (məsələn, VPN) vasitəsilə həyata keçirilir. Hər bir şifrənin MEONA 2024.10 və ya daha yeni versiya altında təyin edildiyi və ya dəyişdirildiyi quraşdırmalar təsirlənmir. Mesalvo bildirilmiş təhlükəsizlik testindən kənar heç bir istismar halından xəbərdar deyil. Bu problem MEONA Server və MEONA Client-in 2024.10, 2025.04 və 2026.03 versiyalarına (şifrələri sonuncu dəfə əvvəlki versiyalarda təyin edilmiş hesablar üçün) təsir göstərir. MEONA 2025.04.24 və 2026.03.02 (2026-cı ilin 4-cü rübündə planlaşdırılıb) versiyaları köhnə saxlama metodlarını ləğv edir, hər bir təsirlənən hesabın növbəti giriş zamanı yeni Argon2-qorumalı şifrə təyin etməsini tələb edir və artıq istifadəçi administrasiyasında saxlanılan etibarlılıq dəyərlərini göstərmir. Mesalvo Təhlükəsizlik Məsləhəti MSA-2026-002-yə baxın.