Podczas wydawania JSON Web Tokens (JWT), Apache StreamPark bezpośrednio używa hasła użytkownika jako klucza HMAC do podpisania tokena (np. z algorytmem HS256). Atakujący może wykorzystać tę lukę do przeprowadzenia offline'owego ataku brute-force na hasło użytkownika przy użyciu przechwyconego JWT, lub do dowolnego sfałszowania tokenów tożsamości użytkownika, jeśli hasło jest już znane, co ostatecznie prowadzi do pełnego przejęcia konta. Problem dotyczy Apache StreamPark: od wersji 2.0.0 do wersji 2.1.6 włącznie. Użytkownikom zaleca się aktualizację do wersji 2.1.7, która usuwa tę lukę.
▸ Pokaż oryginał (EN)
When issuing JSON Web Tokens (JWT), Apache StreamPark directly uses the user's password as the HMAC signing key (e.g., with the HS256 algorithm). An attacker can exploit this vulnerability to perform offline brute-force attacks on the user's password using a captured JWT, or to arbitrarily forge identity tokens for the user if the password is already known, ultimately leading to complete account takeover. This issue affects Apache StreamPark: from 2.0.0 before 2.1.7. Users are recommended to upgrade to version 2.1.7, which fixes the issue.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NApache Streampark
APPApache2.0.0 – 2.1.7 (bez)
Powiązane podatności
Apache StreamPark: zakodowany na stałe klucz szyfrowania (CVE-2025-54947)
Apache Streampark: sesja nie jest unieważniana po wylogowaniu
Apache StreamPark — nieautoryzowana modyfikacja kont użytkowników
Apache Streampark — nieograniczony upload plików JAR umożliwia RCE
Weak Encryption Algorithm in StreamPark, The use of an AES cipher in ECB mode and a weak random number generat...