PT-2024-13375 · Cubefs · Cubefs

Adamkorcz

·

Publicado

2024-01-03

·

Atualizado

2024-06-28

·

CVE-2023-46740

CVSS v4.0

8.2

Alta

VetorAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:L/SA:L
Nome do software vulnerável e versões afetadas
Versões do CubeFS anteriores à 3.3.1
Descrição
O CubeFS é um sistema de armazenamento de arquivos de código aberto nativo da nuvem que utilizava um gerador de sequências aleatórias inseguro para gerar chaves confidenciais específicas de cada usuário, utilizadas para autenticar usuários em uma implantação do CubeFS. Isso poderia permitir que um invasor previsse e/ou adivinhasse a sequência gerada e se passasse por um usuário, obtendo assim privilégios mais elevados. Quando o CubeFS cria novos usuários, ele gera uma informação confidencial para o usuário chamada accessKey. Para criar a accessKey, o CubeFS utiliza um gerador de sequências inseguro, o que facilita adivinhar e, consequentemente, se passar pelo usuário criado. Um invasor poderia aproveitar o gerador de sequências aleatórias previsível para adivinhar a accessKey de um usuário e se passar por ele a fim de obter privilégios mais elevados. Não há evidências de que essa vulnerabilidade tenha sido explorada na prática.
Recomendações
Para resolver o problema, atualize para a versão 3.3.1 ou posterior, pois não há outra forma de mitigação além da atualização.

Exploit

Correção

Use of Insufficiently Random Values

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2023-46740
GHSA-4248-P65P-HCRM
GO-2024-2431

Produtos afetados

Cubefs