CVE-2025-65998
Açıklama
Apache Syncope, kullanıcı parola değerlerini AES şifrelemesiyle dahili veritabanında saklayacak şekilde yapılandırılabilir, ancak bu varsayılan seçenek değildir. AES yapılandırıldığında, kaynak kodda sabit kodlanmış varsayılan anahtar değeri her zaman kullanılır. Bu, kötü niyetli bir saldırganın dahili veritabanı içeriğine erişim elde ettikten sonra orijinal düz metin parola değerlerini yeniden oluşturmasına olanak tanır. Bu durum, değerleri de AES şifrelemesi kullanılarak saklanan şifrelenmiş düz öznitelikleri etkilemez. Kullanıcıların bu sorunu düzelten 3.0.15 / 4.0.3 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache syncope3.0.15, 4.0.3 ya da sonraki bir sürüm
- org.apache.syncope:syncope-core4.0.3, 3.0.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache syncope | 2.1.0 ≤ v ≤ 2.1.14, 3.0.0 ≤ v < 3.0.15, 4.0.0 ≤ v < 4.0.3 | 3.0.15, 4.0.3 |
| org.apache.syncope:syncope-coreMaven | 4.0.0 ≤ v < 4.0.3, v < 3.0.15 | 4.0.3, 3.0.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.