CVE-2020-5229
Açıklama
8.1 öncesindeki Opencast, parolaları oldukça eski ve kriptografik olarak güvensiz olan MD5 özetleme algoritmasını kullanarak saklar. Ayrıca, özetler rastgele bir tuzlama yerine kullanıcı adı kullanılarak tuzlanmaktadır; bu durum aynı kullanıcı adına ve parolaya sahip kullanıcıların özetlerinin çakışmasına neden olur ki bu özellikle varsayılan `admin` kullanıcısı gibi popüler kullanıcılar için sorunludur. Bu durum temel olarak, bir saldırganın bu özetlere erişimi olması durumunda bir kullanıcının parolasını yeniden oluşturmasının mümkün olabileceği anlamına gelir. Saldırganların özetlere erişime ihtiyaç duyması, parolaları kırmaya başlayabilmek için öncelikle bunların saklandığı veritabanına erişim sağlamaları gerektiği anlamına gelir. Sorun, parola saklamak için artık modern ve çok daha güçlü olan bcrypt parola özetleme algoritmasını kullanan Opencast 8.1 sürümünde giderilmiştir. Parola güncellenene kadar eski özetlerin MD5 olarak kalacağı unutulmamalıdır. Parola özetleri MD5 kullanılarak saklanan kullanıcıların listesi için `/user-utils/users/md5.json` REST uç noktasına bakınız.
Nasıl düzeltilir
- apereo opencast8.1 ya da sonraki bir sürüm
- org.opencastproject:opencast-common-jpa-impl7.6, 8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apereo opencast | v < 8.1 | 8.1 |
| org.opencastproject:opencast-common-jpa-implMaven | v < 7.6, 8.0 ≤ v < 8.1 | 7.6, 8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.