Mechanizm kodowania OECH1 stosowany w platformie Progress OpenEdge jest kryptograficznie słaby i nieodpowiedni do przechowywania haseł oraz tajnych wartości w środowiskach produkcyjnych. Dane zakodowane z użyciem OECH1 należy traktować jako podatne na ujawnienie.
▸ Pokaż oryginał (EN)
The OECH1 prefix encoding is intended to obfuscate values across the OpenEdge platform. It has been identified as cryptographically weak and unsuitable for stored encodings and enterprise applications. OECH1 encodings should be considered exploitable and immediately replaced by any other supported prefix encoding, all of which are based on symmetric encryption.
Kodowanie OECH1 jest przeznaczone do zaciemniania (obfuskacji) wartości w ramach platformy OpenEdge, jednak nie opiera się na silnych mechanizmach kryptograficznych. W przeciwieństwie do pozostałych obsługiwanych metod kodowania z przedrostkiem, które bazują na szyfrowaniu symetrycznym, OECH1 nie zapewnia odpowiedniego poziomu ochrony. Atakujący posiadający dostęp do zakodowanych wartości może je odtworzyć do postaci jawnej bez znajomości klucza kryptograficznego.
Atakujący może odzyskać chronione wartości — takie jak hasła lub tajne dane konfiguracyjne — przechowywane z użyciem kodowania OECH1, co może prowadzić do nieautoryzowanego dostępu do systemów i zasobów przedsiębiorstwa.
Należy niezwłocznie zastąpić wszystkie istniejące wartości zakodowane z użyciem OECH1 innymi obsługiwanymi metodami kodowania z przedrostkiem, bazującymi na szyfrowaniu symetrycznym. Szczegółowe instrukcje migracji dostępne są pod adresem wskazanym w referencjach producenta (community.progress.com).
Wszystkie wdrożenia platformy Progress OpenEdge wykorzystujące kodowanie OECH1 do przechowywania haseł lub tajnych wartości; szczegółowe informacje o wersjach dostępne są w referencjach producenta.
Producent (Progress Software) jednoznacznie zaleca traktowanie wszystkich wartości zakodowanych OECH1 jako skompromitowanych i ich natychmiastową wymianę. Podatność sklasyfikowana jako CWE-257 (przechowywanie haseł w formie możliwej do odwrócenia).
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:D/RE:M/U:Red