CVE-2023-46740 in CubeFS
요약
\~에 의해 VulDB • 2026. 06. 04.
CubeFS는 오픈소스 클라우드 네이티브 파일 저장 시스템입니다. 버전 3.3.1 이전의 CubeFS는 사용자를 인증하는 데 사용되는 사용자별 민감 키를 생성하기 위해 보안상 취약한 난수 문자열 생성기를 사용하고 있었습니다. 이로 인해 공격자가 생성된 문자열을 예측하거나 추측하여 사용자를 사칭함으로써 더 높은 권한을 획득할 수 있습니다. CubeFS가 새 사용자를 만들 때, 해당 사용자에게 "accessKey"라는 민감 정보 조각이 생성됩니다. 이 "accessKey"를 생성하기 위해 CubeFS는 보안상 취약한 문자열 생성기를 사용하여 쉽게 추측 가능하게 만들고, 이를 통해 생성된 사용자를 사칭할 수 있게 됩니다. 공격자는 예측 가능한 난수 생성기를 악용하여 사용자의 access key를 추측하고 사용자 역할을 사칭하여 더 높은 권한을 획득할 수 있습니다. 이 문제는 v3.3.1에서 수정되었습니다. 업그레이드 이외에는 다른 완화 조치가 없습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.