// For flags

CVE-2023-46740

Insecure random string generator used for sensitive data

Severity Score

9.8
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

0
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

-
*SSVC
Descriptions

CubeFS is an open-source cloud-native file storage system. Prior to version 3.3.1, CubeFS used an insecure random string generator to generate user-specific, sensitive keys used to authenticate users in a CubeFS deployment. This could allow an attacker to predict and/or guess the generated string and impersonate a user thereby obtaining higher privileges. When CubeFS creates new users, it creates a piece of sensitive information for the user called the “accessKey”. To create the "accesKey", CubeFS uses an insecure string generator which makes it easy to guess and thereby impersonate the created user. An attacker could leverage the predictable random string generator and guess a users access key and impersonate the user to obtain higher privileges. The issue has been fixed in v3.3.1. There is no other mitigation than to upgrade.

CubeFS es un sistema de almacenamiento de archivos nativo de la nube de código abierto. Antes de la versión 3.3.1, CubeFS usaba un generador de cadenas aleatorias inseguras para generar claves confidenciales específicas del usuario utilizadas para autenticar a los usuarios en una implementación de CubeFS. Esto podría permitir a un atacante predecir y/o adivinar la cadena generada y hacerse pasar por un usuario, obteniendo así mayores privilegios. Cuando CubeFS crea nuevos usuarios, crea una información confidencial para el usuario llamada "clave de acceso". Para crear la "clave de acceso", CubeFS utiliza un generador de cadenas inseguro que hace que sea fácil de adivinar y, por lo tanto, suplantar al usuario creado. Un atacante podría aprovechar el predecible generador de cadenas aleatorias y adivinar la clave de acceso de un usuario y hacerse pasar por el usuario para obtener mayores privilegios. El problema se solucionó en v3.3.1. No hay otra mitigación que actualizar.

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
Low
Privileges Required
None
User Interaction
None
Scope
Unchanged
Confidentiality
High
Integrity
High
Availability
High
Attack Vector
Network
Attack Complexity
High
Privileges Required
None
User Interaction
None
Scope
Changed
Confidentiality
Low
Integrity
Low
Availability
Low
* Common Vulnerability Scoring System
SSVC
  • Decision:-
Exploitation
-
Automatable
-
Tech. Impact
-
* Organization's Worst-case Scenario
Timeline
  • 2023-10-25 CVE Reserved
  • 2024-01-03 CVE Published
  • 2024-01-11 EPSS Updated
  • 2024-08-02 CVE Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
  • ---------- First Exploit
CWE
  • CWE-330: Use of Insufficiently Random Values
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Linuxfoundation
Search vendor "Linuxfoundation"
 Cubefs
Search vendor "Linuxfoundation" for product "Cubefs"
 < 3.3.1
Search vendor "Linuxfoundation" for product "Cubefs" and version " < 3.3.1"
-
Affected