CVE-2025-62710
Açıklama
Sakai bir İş Birliği ve Öğrenme Ortamıdır. 23.5 ve 25.0 versiyonlarından önce, EncryptionUtilityServiceImpl, varsayılan java.util.Random ile RandomStringUtils kullanarak bir AES256TextEncryptor parolası (serverSecretKey) başlatıyordu. java.util.Random kriptografik olmayan bir PRNG'dir ve sınırlı durum/tohum bilgileriyle (örneğin başlangıç zaman penceresi) tahmin edilebilir; bu da oluşturulan anahtarın etkili arama alanını önemli ölçüde azaltır. Şifreli metinleri (örneğin bu servis tarafından korunan dışa aktarılmış veya durağan dizeleri) elde edebilen ve PRNG tohumunu yaklaşık olarak belirleyebilen bir saldırgan, serverSecretKey'i makul bir şekilde yeniden oluşturabilir ve etkilenen verileri çözebilir. SAK-49866, Sakai 23.5, 25.0 ve trunk sürümlerinde yamalanmıştır.
Nasıl düzeltilir
- sakailms sakai23.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sakailms sakai | v < 23.5 | 23.5 |
| org.sakaiproject.kernel:sakai-kernel-implMaven | v ≤ 23.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.