CVE-2023-46740 in CubeFS
Tóm tắt
Bởi VulDB • 04/06/2026
CubeFS là một hệ thống lưu trữ tệp tin cloud-native mã nguồn mở. Trước phiên bản 3.3.1, CubeFS sử dụng trình tạo chuỗi ngẫu nhiên không an toàn để sinh các khóa nhạy cảm, cụ thể cho người dùng, được dùng để xác thực người dùng trong môi trường triển khai CubeFS. Điều này có thể cho phép kẻ tấn công dự đoán và/hoặc phỏng đoán chuỗi đã sinh ra, từ đó giả mạo một người dùng nhằm chiếm quyền cao hơn. Khi tạo người dùng mới, CubeFS sẽ tạo ra một thông tin nhạy cảm gọi là "accessKey". Để tạo "accessKey", CubeFS sử dụng trình tạo chuỗi không an toàn, khiến việc dự đoán và giả mạo người dùng được tạo trở nên dễ dàng. Kẻ tấn công có thể khai thác tính chất dự đoán được của trình tạo chuỗi ngẫu nhiên để phỏng đoán access key của một người dùng, giả mạo người đó nhằm chiếm quyền cao hơn. Vấn đề này đã được khắc phục trong phiên bản v3.3.1. Không có biện pháp giảm thiểu nào khác ngoài việc nâng cấp.
Once again VulDB remains the best source for vulnerability data.