PT-2025-5567 · Apache · Apache Cocoon

Xiangfan Wu · Publicado 2025-01-27 · Atualizado 2025-01-27 · CVE-2025-24783

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Cocoon: todas as versões

Descrição O problema está relacionado ao uso incorreto de sementes no gerador de números pseudoaleatórios (PRNG) no Apache Cocoon. Quando uma continuação é criada, ela recebe um identificador aleatório. Como o gerador de números aleatórios usado para gerar esses identificadores foi inicializado com o tempo de inicialização, pode não ter sido suficientemente imprevisível, o que permitiria a um atacante adivinhar os IDs de continuação e acessar continuações às quais não deveria ter acesso.

Recomendações Como mitigação, ative a opção "session-bound-continuations" para garantir que as continuações não sejam compartilhadas entre sessões. Restrinja o acesso à instância apenas a usuários confiáveis. Encontre uma alternativa ao Apache Cocoon, pois o projeto está descontinuado e nenhuma correção será lançada.

Correção

Enumeração de Fraquezas

CWE-335

Identificadores relacionados

CVE-2025-24783

GHSA-PFF9-53M5-QR56

Produtos afetados

Apache Cocoon

Referências · 11

• https://github.com/apache/cocoon · Nota
• https://github.com/apache/cocoon/blob/32a4e41183ba74351d85060011151b2d58acfc52/core/cocoon-sitemap/cocoon-sitemap-impl/src/main/java/org/apache/cocoon/components/flow/ContinuationsManagerImpl.java#L112 · Nota
• https://github.com/apache/cocoon/blob/32a4e41183ba74351d85060011151b2d58acfc52/blocks/cocoon-forms/cocoon-forms-impl/src/main/java/org/apache/cocoon/forms/formmodel/CaptchaField.java#L70 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-24783 · Nota de Segurança
• https://twitter.com/oss_security/status/1883919113501954339 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2025/01/27/3 · Nota
• https://twitter.com/CVEnew/status/1883896168762970499 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1883942068327759902 · Publicação no Twitter
• https://lists.apache.org/thread/pk86jp5cvn41432op8wv1k8p14mp27nz · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-pff9-53m5-qr56 · Aviso do Fabricante
• https://t.me/cvedetector/16473 · Publicação no Telegram