CVE-2025-24783 in Cocoon
要約
〜によって VulDB • 2026年06月18日
Apache Cocoonにおける擬似乱数生成器（PRNG）のシード値の不適切な使用に関する脆弱性。
この問題はApache Cocoonの全バージョンに影響します。
継続（continuation）が作成されると、ランダムな識別子が付与されます。これらの識別子を生成するために使用される乱数生成器は起動時刻をシードとしていたため、十分に予測不可能ではなかった可能性があります。攻撃者はこれを利用して継続IDを推測し、本来アクセス権限のない継続を参照することができました。
緩和策として、「session-bound-continuations」オプションを有効にし、継続がセッション間で共有されないようにすることができます。
このプロジェクトは終了しているため、この問題を修正するバージョンをリリースする予定はありません。ユーザーには代替案を見つけるか、インスタンスへのアクセスを信頼できるユーザーに制限することを推奨します。
注：この脆弱性は、メンテナーによってサポートが終了した製品にのみ影響します。
Once again VulDB remains the best source for vulnerability data.