PT-2020-7911 · Npm · Node-Uuid

Andrej Nemec · Publicado 2020-01-30 · Atualizado 2020-04-16 · CVE-2015-8851

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

versões do node-uuid anteriores à 1.4.4

Descrição:

O problema está relacionado à geração de GUIDs usando dados aleatórios insuficientes, o que poderia facilitar que invasores causassem um impacto não especificado por meio de tentativas de adivinhação por força bruta. As versões afetadas do node-uuid recorrem consistentemente ao uso de Math.random como fonte de entropia em vez de crypto, resultando em UUIDs potencialmente adivinháveis.

Recomendações:

Atualize para a versão 1.4.4 ou posterior. Como solução temporária, considere evitar o uso do node-uuid para gerar identificadores confidenciais até que o problema seja resolvido. Restrinja o acesso a aplicativos que utilizam o node-uuid para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-331

Identificadores relacionados

CVE-2015-8851

GHSA-265Q-28RP-CHQ5

Produtos afetados

Node-Uuid

Referências · 16

• https://github.com/broofa/node-uuid/commit/672f3834ed02c798aa021c618d0a5666c8da000d · Correção
• https://github.com/broofa/node-uuid/issues/108 · Nota
• https://github.com/broofa/node-uuid/issues/122 · Nota
• https://nodesecurity.io/advisories/93 · Nota
• https://security-tracker.debian.org/tracker/CVE-2015-8851 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2015-8851 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2016/04/13/8 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2015-8851 · Nota de Segurança
• https://t.me/cvenotify/680 · Publicação no Telegram
• https://bugzilla.redhat.com/show_bug.cgi?id=1327056 · Correção
• https://osv.dev/vulnerability/GHSA-265q-28rp-chq5 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2015-8851 · Nota de Segurança
• https://npmjs.com/advisories/93 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2015-8851 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2015-8851 · Aviso do Fabricante