CVE-2025-65954
СередняЩо таке CVE-2025-65954?
SimpleSAMLphp-casserver — це CAS-сумісний сервер CAS 1.0 і 2.0 у формі модуля SimpleSAMLphp. У версіях нижче 6.3.1 і 7.0.0 кінцева точка виходу приймає параметр запиту URL-адреси для перенаправлення. casserver розглядає цю URL-адресу як надійну та (залежно від конфігурації) перенаправляє веб-переглядач туди або показує сторінку «ви вийшли з системи» з посиланням для переходу за цією URL-адресою. Уражені конфігурації включають «enable_logout» => true та «skip_logout_page» -> true. Цю проблему вирішено у версіях 6.3.1 і 7.0.0.
Розбір CVSS-вектора
CVSS 3.0Можна експлуатувати віддалено через мережу без фізичного доступу до системи.
Особливих умов не потрібно. Атака виконується надійно і повторювано.
Автентифікація не потрібна. Будь-який анонімний користувач може експлуатувати вразливість.
Жертва повинна виконати певну дію (наприклад, натиснути посилання, відкрити файл).
Вразливість може поширитися на інші компоненти за межами вразливого.
Конфіденційність не порушена. Чутливі дані не розкриваються.
Зловмисник може змінити частину даних, але наслідки обмежені.
Доступність не порушена. Сервіс працює в повному обсязі.
Популярні запитання
CVE-2025-65954 має оцінку CVSS 4.7/10, рівень: Medium. Перегляньте список уражених продуктів і застосуйте патчі виробника.
CVSS (Common Vulnerability Scoring System) оцінює критичність вразливостей від 0.0 до 10.0. CVE-2025-65954 має оцінку 4.7/10 (Medium). 9.0–10.0 — Критична, 7.0–8.9 — Висока, 4.0–6.9 — Середня, нижче 4.0 — Низька.
Список пристроїв, підтверджено уражених CVE-2025-65954, наведено у розділі "Уражені пристрої" вище. Перевірте версію прошивки в офіційному бюлетені безпеки виробника та встановіть останній патч.
Встановіть останнє оновлення прошивки або програмного забезпечення від виробника. Перегляньте розділ "Посилання" вище для офіційних рекомендацій та приміток до патча. Якщо патч відсутній — розгляньте вимкнення ураженої функції або ізоляцію пристрою від ненадійних мереж.