Turms Server v0.10.0-SNAPSHOTおよびそれ以前のバージョンには、管理者認証システムに平文パスワード保存の脆弱性が存在します。BaseAdminServiceクラスは、認証のパフォーマンスを最適化するために、管理者パスワードをAdminInfoオブジェクト内に平文のままキャッシュします。ログインが成功すると、生のパスワードが暗号化されずにメモリ上のrawPasswordフィールドに保存されます。ローカルシステムにアクセスできる攻撃者は、メモリダンプやヒープ解析、デバッガのアタッチを通じてこれらのパスワードを抽出し、bcryptによる保護を回避できてしまいます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。