Сервер PowerJob версии 5.1.2 (и, вероятно, более ранней версии) использует предсказуемый ключ подписи JWT для аутентификации на основе HS256. Это позволяет удаленному злоумышленнику выполнить произвольный код.
Показать оригинальное описание (EN)
PowerJob Server version 5.1.2 (and likely earlier) uses a predictable JWT signing key for HS256-based authentication. This allows a remote attacker to execute arbitrary code.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 6
https://gist.github.com/unpredictable21/39e6ce22e4bc45b0e553d0fa6a6e4d1c
cve@mitre.org
https://github.com/PowerJob/PowerJob/blob/master/docker-compose.yml
cve@mitre.org
https://github.com/PowerJob/PowerJob/blob/master/powerjob-server/powerjob-serve…
cve@mitre.org
https://github.com/PowerJob/PowerJob/blob/master/powerjob-server/powerjob-serve…
cve@mitre.org
https://github.com/PowerJob/PowerJob/blob/master/powerjob-server/powerjob-serve…
cve@mitre.org
https://github.com/PowerJob/PowerJob/blob/master/powerjob-server/powerjob-serve…
cve@mitre.org