CVE-2023-46740 in CubeFS
Zusammenfassung
von VulDB • 04.06.2026
CubeFS ist ein quelloffenes, cloud-natives Dateispeichersystem. Vor Version 3.3.1 verwendete CubeFS einen unsicheren Zufallszahlengenerator zur Erzeugung benutzerspezifischer, sensibler Schlüssel, die zur Authentifizierung von Benutzern in einer CubeFS-Bereitstellung dienten. Dies könnte es einem Angreifer ermöglichen, den generierten String vorherzusagen und/oder zu erraten sowie einen Benutzer zu imitieren (Impersonation), wodurch er höhere Berechtigungen erhält. Wenn CubeFS neue Benutzer erstellt, wird für jeden Benutzer ein sensibles Informationsstück namens „accessKey“ erzeugt. Zur Erstellung des „accessKeys“ verwendet CubeFS einen unsicheren String-Generator, der es leicht macht, diesen zu erraten und den erstellten Benutzer zu imitieren. Ein Angreifer könnte den vorhersagbaren Zufallszahlengenerator ausnutzen, um den accessKey eines Benutzers zu erraten und sich als dieser Benutzer auszugeben, um höhere Berechtigungen zu erlangen. Das Problem wurde in Version v3.3.1 behoben. Es gibt keine andere Abhilfemaßnahme außer einem Upgrade.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.