CWE-332ВариантЧерновик
Недостаточная энтропия в PRNG
Нехватка энтропии, доступной для генератора псевдослучайных чисел (PRNG) или используемой им, может представлять угрозу стабильности и безопасности.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2018-9057aws/resource_aws_iam_user_login_profile.go в HashiCorp Terraform Amazon Web Services (AWS) провайдере до версии v1.12.0 имеет неподходящий алгоритм PRNG и начальное заполнение, что облегчает удаленным злоумышленникам получение доступа за счет использования учетной записи IAM, которая была предоставлена со слабым паролем.
CVE-2023-20107Уязвимость в детерминированном генераторе случайных битов (DRBG), также известном как генератор псевдослучайных чисел (PRNG), в программном обеспечении Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD) для межсетевых экранов Cisco ASA 5506-X, ASA 5508-X и ASA 5516-X может позволить неаутентифицированному удаленному злоумышленнику вызвать криптографическое столкновение, что позволит злоумышленнику обнаружить закрытый ключ затронутого устройства. Эта уязвимость связана с недостаточной энтропией в DRBG для затронутых аппаратных платформ при создании криптографических ключей. Злоумышленник может воспользоваться этой уязвимостью, сгенерировав большое количество криптографических ключей на затронутом устройстве и поискав столкновения с целевыми устройствами. Успешная эксплуатация может позволить злоумышленнику выдавать себя за затронутое целевое устройство или расшифровывать трафик, защищенный затронутым ключом, который отправляется на затронутое целевое устройство или с него.
CVE-2019-1715Уязвимость в детерминированном генераторе случайных битов (DRBG), также известном как генератор псевдослучайных чисел (PRNG), используемом в Cisco Adaptive Security Appliance (ASA) Software и Cisco Firepower Threat Defense (FTD) Software, может позволить не прошедшему проверку подлинности удаленному злоумышленнику вызвать криптографическое столкновение, позволяющее злоумышленнику обнаружить закрытый ключ уязвимого устройства. Уязвимость связана с недостаточной энтропией в DRBG при создании криптографических ключей. Злоумышленник может использовать эту уязвимость, сгенерировав большое количество криптографических ключей на уязвимом устройстве и поискав столкновения с целевыми устройствами. Успешная эксплуатация может позволить злоумышленнику выдать себя за уязвимое целевое устройство или расшифровать трафик, защищенный затронутым ключом, который отправляется на уязвимое целевое устройство или с него.
CVE-2016-9154Веб-модули Siemens Desigo PX PXA40-W0, PXA40-W1, PXA40-W2 для контроллеров автоматизации Desigo PX PXC00-E.D, PXC50-E.D, PXC100-E.D, PXC200-E.D (все версии прошивки < V6.00.046) и веб-модули Desigo PX PXA30-W0, PXA30-W1, PXA30-W2 для контроллеров автоматизации Desigo PX PXC00-U, PXC64-U, PXC128-U (все версии прошивки < V6.00.046) используют генератор псевдослучайных чисел с недостаточной энтропией для генерации сертификатов для HTTPS, что потенциально позволяет удаленным злоумышленникам восстановить соответствующий закрытый ключ.
CVE-2016-10743hostapd до версии 2.6 не предотвращает использование PRNG низкого качества, к которому можно получить доступ с помощью вызова функции os_random().
CVE-2014-9690Домашние шлюзы Huawei WS318 с программным обеспечением версии V100R001C01B022 и более ранних версий подвержены уязвимости взлома PIN-кода WPS в автономном режиме из-за того, что генератор случайных чисел (RNG), используемый в решении поставщика, недостаточно случаен. В результате взлом PIN-кода становится проще. После взлома PIN-кода злоумышленник может получить доступ к Интернету через взломанное устройство.
CVE-2026-3290Ограничения времени HRNG в RS9116, когда включен режим энергосбережения, приводит к предсказуемым значениям
CVE-2017-18486Jitbit Helpdesk версий до 9.0.3 позволяет удаленным злоумышленникам повышать привилегии из-за неправильной обработки параметра userHash User/AutoLogin. Путем проверки значения токена, предоставленного в ссылке для сброса пароля, пользователь может использовать слабый PRNG для восстановления общего секрета, используемого сервером для удаленной аутентификации. Общий секрет можно использовать для повышения привилегий, подделывая новые токены для любого пользователя. Эти токены можно использовать для автоматического входа в систему от имени соответствующего пользователя.
CVE-2014-0016stunnel до версии 5.00, при использовании fork threading, неправильно обновляет состояние псевдогенератора случайных чисел (PRNG) OpenSSL, что приводит к тому, что последующие дочерние процессы с тем же идентификатором процесса используют один и тот же пул энтропии и позволяют удаленным злоумышленникам получать закрытые ключи для сертификатов EC (ECDSA) или DSA.
CVE-2017-9371В BlackBerry QNX Software Development Platform (SDP) 6.6.0 и 6.5.0 SP1 и более ранних версиях уязвимость, связанная с потерей целостности, в конфигурации по умолчанию QNX SDP может позволить злоумышленнику снизить энтропию PRNG, что сделает другие смешанные атаки более практичными, получив контроль над факторами окружающей среды, которые влияют на генерацию начального значения.