Onveilige willekeur bij het gebruik van een SecureRandom instantie geconstrueerd door Spring Security

Een succesvolle exploitatie van CVE-2019-3795 kan leiden tot voorspelbare random getallen, wat ernstige gevolgen kan hebben voor de beveiliging van de applicatie. Denk hierbij aan het voorspellen van sessie-ID's, waardoor een aanvaller zich kan voordoen als een geautoriseerde gebruiker. Ook kan het misbruikt worden om wachtwoordzouten te voorspellen, waardoor wachtwoorden kunnen worden gekraakt. De impact is het grootst in omgevingen waar de random generator gebruikt wordt voor kritieke beveiligingsfuncties. Hoewel de CVSS score 'LOW' is, kan de impact in specifieke scenario's aanzienlijk zijn, vooral als de random data onvoldoende beschermd is tegen inspectie door een aanvaller.

Applications heavily reliant on Spring Security for authentication and authorization, particularly those that generate cryptographic keys or session IDs using SecureRandomFactoryBean and expose the resulting random data, are at increased risk. Systems using older, unpatched versions of Spring Security (≤5.1.4.RELEASE) are directly vulnerable.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / supply-chain:

# Check for vulnerable dependencies in Maven project
mvn dependency:tree | grep 'spring-security' 

• generic web:

# Check for potential seed exposure in application logs
grep -i 'seed=' /var/log/your_application/*.log

1. 2019-04-09Disclosure

   disclosure

1. Gereserveerd2019-01-03
2. Gepubliceerd2019-04-09
3. Gewijzigd2024-09-17
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2019-3795 is het upgraden van Spring Security naar versie 5.1.4.RELEASE of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het vermijden van het gebruik van SecureRandomFactoryBean met een vooraf bepaalde seed. In plaats daarvan kan een andere random generator gebruikt worden die niet vatbaar is voor deze kwetsbaarheid. Het is belangrijk om de configuratie van Spring Security zorgvuldig te controleren om te verzekeren dat de random generator correct is geconfigureerd en niet onbedoeld een voorspelbare seed gebruikt. Na de upgrade, controleer de logbestanden op ongebruikelijke random getal patronen om te bevestigen dat de kwetsbaarheid is verholpen.