Spring SecurityでSecureRandomインスタンスを構築する際の不安全な乱数

この脆弱性を悪用されると、攻撃者はアプリケーションが生成する乱数を予測できるようになります。これにより、セッションID、パスワードリセットトークン、その他の機密性の高いデータを予測し、不正なアクセスや改ざんを行う可能性があります。特に、暗号化キーの生成や、安全なランダムな値を必要とする処理において、深刻な影響を及ぼす可能性があります。攻撃者は、予測可能な乱数を利用して、認証を回避したり、不正なトランザクションを実行したりする可能性があります。この脆弱性は、予測可能な乱数生成を前提とする暗号化アルゴリズムの安全性を損なう可能性があります。

Applications heavily reliant on Spring Security for authentication and authorization, particularly those that generate cryptographic keys or session IDs using SecureRandomFactoryBean and expose the resulting random data, are at increased risk. Systems using older, unpatched versions of Spring Security (≤5.1.4.RELEASE) are directly vulnerable.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / supply-chain:

# Check for vulnerable dependencies in Maven project
mvn dependency:tree | grep 'spring-security' 

• generic web:

# Check for potential seed exposure in application logs
grep -i 'seed=' /var/log/your_application/*.log

1. 2019-04-09Disclosure

   disclosure

1. 予約済み2019-01-03
2. 公開日2019-04-09
3. 更新日2024-09-17
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まず、Spring Securityを5.1.4.RELEASE以降のバージョンにアップデートすることを推奨します。アップデートが困難な場合は、SecureRandomFactoryBeanを使用しないように構成を変更するか、代替の乱数生成メカニズムを使用することを検討してください。WAFやIPSなどのセキュリティデバイスを導入し、予測可能な乱数生成に関連する異常なパターンを検出するように設定することも有効です。また、アプリケーションのログを監視し、不審なアクティビティがないか確認することも重要です。