CVE-2017-7673

Apache OpenMeetings — słabe szyfrowanie, brak CAPTCHA i brak ochrony przed brute force

CVSS 9.8v3.0pub. 2017-07-17upd. 2026-05-13

Apache OpenMeetings 1.0.0 stosuje słabe algorytmy kryptograficzne do przechowywania danych oraz nie implementuje CAPTCHA ani zabezpieczeń przed atakami brute force w formularzach rejestracji, przypomnienia hasła i uwierzytelniania. Podatność umożliwia atakującemu zdalnie i bez uwierzytelnienia przejęcie kont użytkowników lub odczyt chronionych danych.

▸ Pokaż oryginał (EN)

Apache OpenMeetings 1.0.0 uses not very strong cryptographic storage, captcha is not used in registration and forget password dialogs and auth forms missing brute force protection.

🤖 Analiza AI

Jak działa

Aplikacja przechowuje dane (np. hasła) przy użyciu niewystarczająco silnych mechanizmów kryptograficznych (CWE-326), co ułatwia ich odzyskanie w przypadku wycieku bazy danych. Jednocześnie formularze logowania, rejestracji i przypomnienia hasła nie wymagają rozwiązania CAPTCHA ani nie ograniczają liczby prób uwierzytelnienia (CWE-307), co otwiera drogę do automatycznych ataków brute force. Atakujący może więc masowo testować kombinacje login/hasło bez żadnych systemowych blokad.

Skutki

Atakujący może przejąć konta użytkowników poprzez atak brute force lub złamanie słabo zaszyfrowanych haseł, uzyskując pełny dostęp do zasobów i danych aplikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie silnych algorytmów kryptograficznych do przechowywania haseł, wprowadzenie CAPTCHA w formularzach rejestracji i odzyskiwania hasła oraz mechanizmów blokowania konta po określonej liczbie nieudanych prób logowania.