Spring Security द्वारा निर्मित SecureRandom उदाहरण का उपयोग करते समय असुरक्षित यादृच्छिकता (Insecure Randomness When Using a SecureRandom Instance Constructed by Spring Security)

यह भेद्यता हमलावरों को एप्लिकेशन द्वारा उत्पन्न यादृच्छिक सामग्री का निरीक्षण करने की अनुमति देती है। यदि एप्लिकेशन इस यादृच्छिक सामग्री का उपयोग संवेदनशील कार्यों के लिए करता है, जैसे कि सत्र आईडी या क्रिप्टोग्राफ़िक कुंजियाँ उत्पन्न करना, तो हमलावर एप्लिकेशन की सुरक्षा को तोड़ सकते हैं। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, उपयोगकर्ता खातों को हाईजैक कर सकते हैं, या एप्लिकेशन को दुर्भावनापूर्ण कोड निष्पादित करने के लिए मजबूर कर सकते हैं। यह भेद्यता विशेष रूप से उन अनुप्रयोगों के लिए गंभीर है जो सुरक्षित यादृच्छिकता पर निर्भर करते हैं, जैसे कि वित्तीय लेनदेन या व्यक्तिगत डेटा को संभालने वाले एप्लिकेशन।

Applications heavily reliant on Spring Security for authentication and authorization, particularly those that generate cryptographic keys or session IDs using SecureRandomFactoryBean and expose the resulting random data, are at increased risk. Systems using older, unpatched versions of Spring Security (≤5.1.4.RELEASE) are directly vulnerable.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / supply-chain:

# Check for vulnerable dependencies in Maven project
mvn dependency:tree | grep 'spring-security' 

• generic web:

# Check for potential seed exposure in application logs
grep -i 'seed=' /var/log/your_application/*.log

1. 2019-04-09Disclosure

   disclosure

1. आरक्षित2019-01-03
2. प्रकाशित2019-04-09
3. संशोधित2024-09-17
4. EPSS अद्यतन2026-04-02

CVE-2019-3795 को कम करने के लिए, Spring Security को 5.1.4.RELEASE या बाद के संस्करण में अपडेट करना आवश्यक है। यदि तत्काल अपडेट संभव नहीं है, तो SecureRandomFactoryBean#setSeed का उपयोग करने से बचें। यदि यह संभव नहीं है, तो एप्लिकेशन में यादृच्छिक सामग्री के उपयोग को सीमित करें और यह सुनिश्चित करें कि हमलावर के लिए इसे निरीक्षण करना मुश्किल है। WAF नियमों को लागू किया जा सकता है जो असामान्य यादृच्छिक संख्या पैटर्न का पता लगाते हैं। अपडेट के बाद, यह सत्यापित करें कि यादृच्छिक संख्या पीढ़ी सुरक्षित है और अनुमानित नहीं है।