PT-2021-17424 · Rand Core · Rand Core
Publicado
2021-02-12
·
Atualizado
2022-07-12
·
CVE-2021-27378
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do crate rand core anteriores à 0.6.2
Descrição
Foi descoberta uma falha no crate rand core em que as funções
read u32 into e read u64 into processam incorretamente certas verificações de comprimento de buffer. Isso pode fazer com que um gerador de números aleatórios seja inicializado com dados insuficientes, levando potencialmente a problemas com RNGs a jusante, incluindo alguns que permitem a inicialização com chaves muito curtas.Recomendações
Para versões anteriores à 0.6.2, atualize para a versão 0.6.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso das funções
read u32 into e read u64 into até que um patch esteja disponível. Evite usar essas funções para inicializar geradores de números aleatórios com dados potencialmente insuficientes.Correção
Use of Insufficiently Random Values
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Rand Core