كشف باحثون في الأمن السيبراني عن ثغرة أمنية خطيرة في برنامج Apache Roller مفتوح المصدر والمبني بلغة Java، تُمكِّن المهاجمين من الاحتفاظ بجلسات الوصول غير المصرح بها حتى بعد تغيير كلمة مرور الحساب.
تفاصيل الثغرة الأمنية CVE-2025-24859 في Apache Roller
-
رمز الثغرة (CVE): CVE-2025-24859
-
درجة الخطورة (CVSS): 10.0 (أقصى درجة خطورة)
-
الإصدارات المتأثرة: جميع الإصدارات حتى 6.1.4 من Apache Roller
تحذير أمني: تمثل هذه الثغرة تهديدًا مباشرًا لأنظمة إدارة المحتوى والمدونات المستضافة باستخدام Apache Roller، خصوصًا في البيئات التي تعتمد عليه ضمن بنى تحتية حرجة أو مؤسسية.
وصف الثغرة:
أوضح الفريق المسؤول عن المشروع أن هناك خللًا في إدارة الجلسات (Session Management) ضمن الإصدارات السابقة لـ Apache Roller، حيث لا يتم إبطال الجلسات النشطة عند تغيير كلمة المرور.
تفصيل فني:
عند قيام المستخدم (أو المسؤول) بتغيير كلمة المرور، تظل الجلسات الحالية نشطة وصالحة للاستخدام، مما يتيح للمهاجمين الذين يمتلكون وصولاً مسبقًا عبر جلسة قديمة، الاستمرار في استخدام النظام دون إعادة المصادقة.
التأثير الأمني:
-
يمكن للمهاجمين الحفاظ على الوصول غير المصرح به إلى التطبيق حتى بعد تغيير كلمة المرور.
-
في حال تم تسريب بيانات الدخول، فإن المهاجم سيكون قادرًا على الوصول الكامل دون قيود حتى بعد محاولات تأمين الحساب.
الإصلاح والإصدارات الآمنة:
تم معالجة الثغرة في الإصدار 6.1.5 من Apache Roller عبر تطبيق إدارة مركزية للجلسات، حيث يتم إبطال جميع الجلسات النشطة تلقائيًا عند:
-
تغيير كلمة المرور
-
تعطيل المستخدم
الفضل في اكتشاف الثغرة:
يرجع الفضل في اكتشاف هذه الثغرة إلى الباحث الأمني Haining Meng، الذي قام بالإبلاغ عنها ضمن إطار الإفصاح المسؤول.
التوصيات الأمنية:
-
تحديث Apache Roller فورًا إلى الإصدار 6.1.5 أو أحدث.
-
مراجعة الجلسات النشطة وإبطال الجلسات غير المصرح بها يدويًا إذا لم يكن التحديث ممكنًا على الفور.
-
مراقبة سجلات الوصول بحثًا عن أنشطة مشبوهة أو جلسات قديمة ما تزال نشطة.
