Apache StreamPark: Uses the user’s password as the secret key

Apache StreamPark usa contraseñas de usuarios como clave secreta para firmar tokens de autenticación (JWT). Si un atacante captura un token, puede adivinar la contraseña sin conexión, o si ya conoce la contraseña, puede crear tokens falsos para suplantar a cualquier usuario.

La vulnerabilidad existe en la generación de JWT donde las contraseñas de usuarios se utilizan directamente como claves HMAC en lugar de un secreto dedicado. Un atacante con un JWT capturado puede realizar ataques de fuerza bruta sin conexión contra la contraseña, o con una contraseña conocida puede falsificar tokens de identidad arbitrarios, lo que permite comprometer completamente la cuenta. Versiones afectadas: 2.0.0 hasta 2.1.6.