Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Descrizione: Apache Druid’s Kerberos authenticator uses a weak fallback secret when the `druid.auth.authenticator.kerberos.cookieSignatureSecret` configuration is not explicitly set. In this case, the secret is generated using `ThreadLocalRandom`, which is not a crypto-graphically secure random number generator. This may allow an attacker to predict or brute force the secret used to sign authentication cookies, potentially enabling token forgery or authentication bypass. Additionally, each process generates its own fallback secret, resulting in inconsistent secrets across nodes. This causes authentication failures in distributed or multi-broker deployments, effectively leading to a incorrectly configured clusters. Users are advised to configure a strong `druid.auth.authenticator.kerberos.cookieSignatureSecret` This issue affects Apache Druid: through 34.0.0. Users are recommended to upgrade to version 35.0.0, which fixes the issue making it mandatory to set `druid.auth.authenticator.kerberos.cookieSignatureSecret` when using the Kerberos authenticator. Services will fail to come up if the secret is not set.
Il **Base Score CVSS** è un punteggio da **0 a 10** che rappresenta la gravità intrinseca di una vulnerabilità. Un punteggio più alto indica una gravità maggiore.
Database CWE: v4.18
CWE-338: Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG) ↗
The product uses a Pseudo-Random Number Generator (PRNG) in a security context, but the PRNG's algorithm is not cryptographically strong.
Fonte: MITRE CWE
L'**EPSS (Exploit Prediction Scoring System)** è un punteggio da **0 a 1** che indica la **probabilità** che una vulnerabilità venga sfruttata nel mondo reale nei prossimi 30 giorni. Un valore più alto indica una maggiore probabilità di exploit.
Il **Percentile** indica quanto il punteggio EPSS di questa vulnerabilità sia più alto rispetto a quello di tutte le altre vulnerabilità nel database EPSS. Ad esempio, un percentile di 0.90 (90%) significa che il 90% delle vulnerabilità ha un EPSS score uguale o inferiore a quello attuale.
*Dati aggiornati al: 2025-11-28
Il **CISA KEV Catalog** elenca le vulnerabilità che sono state **attivamente sfruttate nel mondo reale**. Se una CVE è presente in questo catalogo, indica che la minaccia è immediata e la mitigazione dovrebbe essere una priorità assoluta.
La CVE **CVE-2025-59390** non è presente nel CISA KEV Catalog. Ciò indica che al momento non è classificata dal CISA come vulnerabilità attivamente sfruttata.
Articoli non presenti su Red Hot Cyber.