Signal K Serverに認証なしで全権を奪われる脆弱性、修正版あり
Summary
船舶データを扱うSignal K Serverに、ログ取得機能の認証欠落が原因で、外部から管理者として操作される脆弱性が見つかりました。2.33.0より前の版を動かしている組織が対象で、修正版は2.33.0です。更新に加え、更新前に侵入されていないかの確認も必要です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
船舶データを扱うSignal K Serverに、ログ取得機能の認証欠落が原因で、外部から管理者として操作される脆弱性が見つかりました。2.33.0より前の版を動かしている組織が対象で、修正版は2.33.0です。更新に加え、更新前に侵入されていないかの確認も必要です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| SignalK | signalk-server |
< 2.33.0 |
2.33.0 |
Original description The description as published by the source.
Signal K Server before 2.33.0 contains a missing authentication vulnerability that allows unauthenticated remote attackers to download log archives via the /skServer/ziplogs endpoint. Attackers can extract the JWT secretKey from security.json in the ZIP, forge administrator tokens, and create persistent admin accounts for full server control.
Source: CVE.org (CVE Program・cvelistV5) NVD