به‌تازگی یک آسیب‌پذیری به شماره‌ی CVE-2025-41672 و شدت 10 یک نقص امنیتی بحرانی در فرآیند احراز هویت (Authentication) ایجاد می‌کند که پیامدهای بسیار خطرناکی به همراه دارد. این آسیب‌پذیری به مهاجم اجازه می‌دهد فرآیند احراز هویت را کاملاً دور بزند و بدون داشتن اعتبار یا رمز عبور، به سامانه دسترسی پیدا کند.
این ضعف زمانی رخ می‌دهد که سرور برای تولید توکن‌های JWT از گواهی (کلید خصوصی) پیش‌فرض یا ثابت (hardcoded) استفاده می‌کند.
در چنین شرایطی، مهاجم می‌تواند آن گواهی را به‌دست آورد (از طریق مهندسی معکوس، مستندات یا نسخه‌های لو رفته) و خودش توکن جعلی امضا کند و وارد سیستم شود — با نقش دلخواه، از جمله دسترسی مدیریتی.
محصولات تحت تأثیر
- WAGO Device Sphere نسخه‌ی 1.0.0
توصیه‌های امنیتی
برای مقابله با آسیب‌پذیری CVE-2025-41672 باید:
- استفاده از گواهی‌های پیش‌فرض در تولید توکن‌های JWT به‌طور کامل حذف شود.
- برای هر نصب، یک کلید امضای یکتا و ایمن تولید گردد.
- فرآیند نصب نرم‌افزار به‌گونه‌ای طراحی شود که کلیدها به‌صورت خودکار و امن ساخته شوند و قابل حدس یا استخراج نباشند.
- کنترل دسترسی مناسب بر روی فایل‌های کلید خصوصی اعمال شود.
- بررسی منظم اعتبار توکن‌ها، محدودسازی زمان انقضا و فعال‌سازی ثبت وقایع امنیتی برای کشف ورودهای مشکوک نیز ضروری است.
منبع خبر:
- 26