Aleatoriedade Insegura ao Usar uma Instância SecureRandom Construída pelo Spring Security

Um atacante pode explorar esta vulnerabilidade se a aplicação afetada utilizar o SecureRandomFactoryBean#setSeed para configurar o gerador de números aleatórios e se a semente fornecida for previsível ou controlável pelo atacante. Ao obter acesso ao material aleatório gerado, o atacante pode prever futuras sequências de números aleatórios, comprometendo a segurança de operações que dependem desses números, como geração de tokens de segurança, chaves de criptografia e outros dados sensíveis. A exploração bem-sucedida pode levar à quebra de autenticação, autorização e confidencialidade dos dados.

Applications heavily reliant on Spring Security for authentication and authorization, particularly those that generate cryptographic keys or session IDs using SecureRandomFactoryBean and expose the resulting random data, are at increased risk. Systems using older, unpatched versions of Spring Security (≤5.1.4.RELEASE) are directly vulnerable.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / supply-chain:

# Check for vulnerable dependencies in Maven project
mvn dependency:tree | grep 'spring-security' 

• generic web:

# Check for potential seed exposure in application logs
grep -i 'seed=' /var/log/your_application/*.log

1. 2019-04-09Disclosure

   disclosure

1. Reservado2019-01-03
2. Publicada2019-04-09
3. Modificada2024-09-17
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o Spring Security para a versão 5.1.4.RELEASE ou superior. Se a atualização imediata não for possível, considere implementar workarounds, como garantir que a semente fornecida ao SecureRandomFactoryBean seja verdadeiramente aleatória e imprevisível, utilizando fontes de entropia seguras. Monitore logs de aplicação em busca de padrões de uso suspeitos do SecureRandomFactoryBean. Implementar regras de WAF que bloqueiem requisições com parâmetros suspeitos relacionados à geração de números aleatórios pode oferecer uma camada adicional de proteção.