CVE-2021-41278
تشفير مكسور في تحويل "AES" في app-functions-sdk في إصدارات EdgeX Foundry قبل Jakarta يسمح للمهاجمين بفك تشفير الرسائل عبر نواقل غير محددة
- تم النشر
- 18/11/2021
- محدث
- 04/08/2024
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 05/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 23.9%
- تاريخ الموديل
- 19/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
# ملخص ثغرة في Functions SDK لـ EdgeX تم تصميم Functions SDK لـ EdgeX لتوفير كل البنية التحتية اللازمة للمطورين للبدء في معالجة/تحويل/تصدير البيانات خارج منصة EdgeX IoT. في الإصدارات المتأثرة، يسمح التشفير المكسور في تحويل "AES" في app-functions-sdk في إصدارات EdgeX Foundry السابقة لـ Jakarta للمهاجمين بفك تشفير الرسائل عبر ناقلات غير محددة. يقوم app-functions-sdk بتصدير تحويل "aes" الذي يمكن لسكربتات المستخدم استدعاءه اختياريًا لتشفير البيانات في خط المعالجة. لا يتم توفير دالة فك تشفير. التشفير غير مفعّل افتراضيًا، ولكن إذا تم استخدامه، فقد يكون مستوى الحماية أقل مما يتوقعه المستخدم بسبب تنفيذ مكسور. الإصدار v2.1.0 (إصدار EdgeX Foundry Jakarta وما بعده) من app-functions-sdk-go/v2 يوقف استخدام تحويل "aes" ويوفر تحويل "aes256" محسّنًا بدلاً منه. سيظل التنفيذ المكسور في حالة إيقاف الاستخدام حتى تتم إزالته في الإصدار الرئيسي التالي من EdgeX لتجنب كسر البرامج الحالية التي تعتمد على التنفيذ المكسور. نظرًا لأن التحويل المكسور هو دالة مكتبة لا يتم استدعاؤها افتراضيًا، فإن المستخدمين الذين لا يستخدمون تحويل AES في خطوط المعالجة الخاصة بهم غير متأثرين. أما المتأثرون فيُحثون على الترقية إلى إصدار EdgeX Jakarta وتعديل خطوط المعالجة لاستخدام تحويل "aes256" الجديد.
المصادر
- CVE-2021-41278الماسح الضوئي
أداة فحص جماعي لثغرة قراءة الملفات التعسفية في Metabase
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.