PT-2022-8283 · Ruby · Random Password Generator

Jodawill · Publicado 2022-05-18 · Atualizado 2022-05-26 · CVE-2019-25061

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões da gem random password generator até a 1.0.0

Descrição

O problema diz respeito ao uso do Kernel#rand para gerar senhas, que apresenta um padrão cíclico capaz de facilitar a previsão de senhas. Isso afeta a gem random password generator para Ruby.

Recomendações

Para versões até 1.0.0, considere usar um método alternativo para geração de senhas que não dependa do Kernel#rand, a fim de minimizar o risco de previsão de senhas.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Use of Insufficiently Random Values

Enumeração de Fraquezas

CWE-335

CWE-330

Identificadores relacionados

CVE-2019-25061

GHSA-GGFX-H9XJ-5V9C

Produtos afetados

Random Password Generator

Referências · 10

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/random_password_generator/CVE-2019-25061.yml · Exploit
• 🔥 https://stackoverflow.com/questions/42170239/security-of-rand-in-ruby-compared-to-other-methods/42170560 · Exploit
• https://github.com/bvsatyaram/random_password_generator · Nota
• https://github.com/bvsatyaram/random_password_generator/blob/2855e8d7d8803dbb580ddd6cf13846394eb4530e/lib/random_password_generator.rb#L23 · Nota
• https://github.com/bvsatyaram/random_password_generator/pull/1 · Nota
• https://ruby-doc.org/core-3.1.2/Random.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-25061 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-25061 · Aviso do Fabricante
• https://t.me/cibsecurity/42888 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-ggfx-h9xj-5v9c · Aviso do Fabricante