CVE-2013-7463 描述了 aescrypt Ruby gem 中的一个安全漏洞，该漏洞源于在 AESCrypt 加密和解密函数中使用 CBC IV 时缺乏随机化。此缺陷允许攻击者通过精心构造的选择明文攻击来破坏加密保护机制。该漏洞影响 aescrypt gem 版本小于或等于 1.0.0 的用户。建议尽快升级到修复版本或采取缓解措施。
攻击者可以利用此漏洞通过选择明文攻击来破解受 aescrypt gem 加密保护的数据。攻击者可以构造特定的输入数据，利用 CBC 模式的弱点，从而推导出密钥或解密其他数据。这可能导致敏感信息的泄露，例如密码、个人身份信息或其他机密数据。由于 Ruby gem 广泛应用于各种 Web 应用程序和脚本中，因此该漏洞的潜在影响范围非常广泛，可能影响大量用户和系统。
该漏洞已公开披露，但目前没有已知的公开利用程序。该漏洞被认为具有中等风险，因为攻击者需要对加密算法有深入的了解，并且需要能够构造选择明文攻击。目前尚未将其添加到 CISA KEV 目录。
Applications and systems that rely on the aescrypt Ruby gem for encryption, particularly those using versions 1.0.0 or earlier, are at risk. This includes older Ruby on Rails applications and any custom Ruby scripts that utilize the gem for data protection. Shared hosting environments where multiple applications might be using the gem are also at increased risk.
• ruby / gem: Check gemfile.lock for aescrypt versions <= 1.0.0. Use gem list aescrypt to identify installed versions.
gem list aescrypt | grep '1.0.0'• ruby / application code: Search code for calls to AESCrypt.encrypt and AESCrypt.decrypt.
• generic / log analysis: Monitor application logs for unusual encryption/decryption patterns or errors related to the aescrypt gem.
discovery
disclosure
漏洞利用状态
EPSS
0.30% (53% 百分位)
CVSS 向量
最有效的缓解措施是升级到修复后的 aescrypt gem 版本。由于没有提供修复版本，建议暂时避免使用 aescrypt gem 进行敏感数据的加密。如果必须使用，可以考虑使用其他更安全的加密库。此外，可以尝试通过修改应用程序代码来避免使用 CBC 模式，或者使用更强的随机数生成器来初始化 IV。在升级或修改代码后，务必进行彻底的测试，以确保应用程序的安全性。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2013-7463 是 aescrypt Ruby gem (≤1.0.0) 中一个安全漏洞，由于 CBC IV 缺乏随机化，攻击者可以通过选择明文攻击破解加密。
如果您的系统使用了 aescrypt Ruby gem 版本小于或等于 1.0.0，则可能受到此漏洞的影响。请检查您的 gem 版本。
由于没有提供修复版本，建议暂时避免使用 aescrypt gem 进行敏感数据的加密，或考虑使用其他更安全的加密库。
目前没有已知的公开利用程序，但该漏洞被认为具有中等风险。
请参考 NVD 数据库：https://nvd.nist.gov/vuln/detail/CVE-2013-7463
上传你的 Gemfile.lock 文件，立即知道是否受影响。