Aleatoriedad Insegura al Usar una Instancia SecureRandom Construida por Spring Security

Un atacante que explote esta vulnerabilidad podría predecir la secuencia de números aleatorios generados por Spring Security. Esto podría comprometer la seguridad de aplicaciones que dependen de estos números aleatorios para tareas como la generación de tokens de sesión, contraseñas o claves de cifrado. La capacidad de predecir estos valores podría permitir a un atacante eludir mecanismos de seguridad, obtener acceso no autorizado a datos sensibles o incluso tomar control de la aplicación. La severidad es baja, pero el impacto potencial en la confidencialidad y la integridad de los datos es significativo si la aleatoriedad es crítica para la seguridad de la aplicación.

Applications heavily reliant on Spring Security for authentication and authorization, particularly those that generate cryptographic keys or session IDs using SecureRandomFactoryBean and expose the resulting random data, are at increased risk. Systems using older, unpatched versions of Spring Security (≤5.1.4.RELEASE) are directly vulnerable.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / supply-chain:

# Check for vulnerable dependencies in Maven project
mvn dependency:tree | grep 'spring-security' 

• generic web:

# Check for potential seed exposure in application logs
grep -i 'seed=' /var/log/your_application/*.log

1. 2019-04-09Disclosure

   disclosure

1. Reservado2019-01-03
2. Publicada2019-04-09
3. Modificada2024-09-17
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2019-3795 es actualizar Spring Security a la versión 5.1.4.RELEASE o superior. Si la actualización no es inmediatamente posible, se recomienda evitar el uso de SecureRandomFactoryBean#setSeed para configurar instancias de SecureRandom. En su lugar, se puede utilizar la generación de números aleatorios predeterminada proporcionada por Spring Security. Monitorear los logs de la aplicación en busca de patrones inusuales relacionados con la generación de números aleatorios también puede ayudar a detectar posibles intentos de explotación. Después de la actualización, verificar la correcta generación de números aleatorios mediante pruebas de seguridad.