PT-2026-55299 · Apereo · Apereo Cas

George Chen · Publicado 2026-07-02 · Atualizado 2026-07-03 · CVE-2026-59099

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apereo CAS versões 7.3.0 até 8.0.0-RC5

Descrição Uma falha criptográfica permite que atacantes remotos não autenticados recuperem o estado da conversa em texto simples. Isso ocorre porque o sistema reutiliza o vetor de inicialização (IV) do AES-GCM durante a vida útil do servidor. Ao coletar múltiplos tokens de execução de webflow do lado do cliente na página de login não autenticada, um atacante pode realizar uma análise de texto simples conhecido para descriptografar o estado da conversa do webflow. Isso é possível devido à reutilização do keystream resultante de um IV fixo composto por zeros associado à mesma chave de criptografia.

Recomendações Atualize para a versão 8.0.0-RC6 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-323

Identificadores relacionados

CVE-2026-59099

Produtos afetados

Apereo Cas

Referências · 11

• 🔥 https://github.com/geo-chen/oss/blob/main/cas.md · Exploit
• https://github.com/apereo/cas/releases/tag/v8.0.0-RC6 · Nota
• https://github.com/apereo/cas/commit/22c6f4adf738852782309b523b4e80371057f2d0 · Correção
• https://twitter.com/CVEnew/status/2072814585372172582 · Publicação no Twitter
• https://vulncheck.com/advisories/apereo-cas-rc6-aes-gcm-nonce-reuse-information-disclosure · Nota
• https://reddit.com/r/pwnhub/comments/1um44r3/apereo_cas_730_before_800rc6_contains_a · Publicação no Reddit
• https://apereo.github.io/2026/06/18/vuln · Aviso do Fabricante
• https://twitter.com/OrizonCyber/status/2072817632470823300 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2072815528263983446 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-59099 · Nota de Segurança
• https://twitter.com/ThreatAft/status/2072888894685843890 · Publicação no Twitter