Специалисты по информационной безопасности выявили критическую уязвимость в популярной платформе для ведения блогов Apache Roller. Обнаруженная проблема, получившая идентификатор CVE-2025-24859, позволяла злоумышленникам сохранять несанкционированный доступ к системе даже после изменения учетных данных пользователя.
Детали уязвимости и потенциальные риски
Уязвимость затрагивает все версии Apache Roller до 6.1.4 включительно и получила максимальную оценку 10 баллов по шкале CVSS. Основная проблема заключается в некорректной работе механизма управления пользовательскими сессиями. При смене пароля администратором или самим пользователем система не производила автоматическую инвалидацию существующих сессий, что создавало серьезную брешь в безопасности.
Технические аспекты и механизм эксплуатации
Злоумышленники могли использовать существующие сессионные токены для сохранения доступа к скомпрометированным учетным записям даже после смены пароля. Это представляло особую опасность в случаях, когда администраторы меняли пароли пользователей после обнаружения подозрительной активности, поскольку атакующие все равно могли продолжать свои действия в системе.
Исправление уязвимости и рекомендации
В версии Apache Roller 6.1.5 разработчики внедрили усовершенствованную систему централизованного управления сессиями. Теперь при изменении пароля или деактивации учетной записи все активные сессии пользователя автоматически аннулируются. Администраторам систем настоятельно рекомендуется обновить программное обеспечение до актуальной версии для устранения уязвимости.
Стоит отметить, что данная уязвимость продолжает тенденцию обнаружения критических проблем безопасности в продуктах Apache. Ранее была выявлена аналогичная по степени опасности уязвимость в Apache Parquet, позволявшая осуществлять удаленное выполнение произвольного кода. Это подчеркивает важность регулярного обновления программного обеспечения и проведения аудита безопасности информационных систем.
