CVE-2023-46740 in CubeFS
要約
〜によって VulDB • 2026年06月04日
CubeFSは、オープンソースのクラウドネイティブファイルストレージシステムです。バージョン3.3.1より前では、CubeFSは安全でない乱数文字列生成器を使用して、ユーザー固有で機微なキーを生成しており、このキーはCubeFSデプロイメントにおけるユーザー認証に使用されていました。これにより、攻撃者は生成された文字列を予測および/または推測し、ユーザーになりすましてより高い権限を取得することが可能になります。
CubeFSが新しいユーザーを作成する際、「accessKey」と呼ばれる機微な情報の断片をそのユーザー用に作成します。「accesKey」の作成にあたり、CubeFSは安全でない文字列生成器を使用しており、これにより推測しやすくなり、作成されたユーザーになりすますことが容易になります。攻撃者は予測可能な乱数生成器を利用してユーザーのaccessKeyを推測し、ユーザーになりすましてより高い権限を取得することができます。
この問題はv3.3.1で修正されました。アップグレード以外に緩和策はありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.