CVE-2025-53960
Açıklama
Apache StreamPark, JSON Web Token (JWT) oluştururken kullanıcının şifresini doğrudan HMAC imzalama anahtarı olarak kullanmaktadır (örneğin HS256 algoritması ile). Bir saldırgan, bu zafiyeti kullanarak ele geçirilen bir JWT üzerinden kullanıcı şifresine yönelik çevrimdışı kaba kuvvet (brute-force) saldırıları gerçekleştirebilir veya şifre zaten biliniyorsa kullanıcı için rastgele kimlik belirteçleri oluşturabilir; bu durum nihayetinde hesabın tamamen ele geçirilmesine yol açar. Bu sorun, 2.0.0 ile 2.1.7 arasındaki Apache StreamPark sürümlerini etkilemektedir. Kullanıcıların, sorunun giderildiği 2.1.7 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache streampark2.1.7 ya da sonraki bir sürüm
- org.apache.streampark:streampark2.1.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache streampark | 2.0.0 ≤ v < 2.1.7 | 2.1.7 |
| org.apache.streampark:streamparkMaven | 2.0.0 ≤ v < 2.1.7 | 2.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.