CubeFS — это облачная система хранения файлов с открытым исходным кодом. До версии 3.3.1 CubeFS использовал небезопасный генератор случайны…

CubeFS — это облачная система хранения файлов с открытым исходным кодом. До версии 3.3.1 CubeFS использовал небезопасный генератор случайных строк для создания пользовательских конфиденциальных ключей, используемых для аутентификации пользователей в развертывании CubeFS. Это могло позволить злоумышленнику предсказать и/или угадать сгенерированную строку и выдать себя за пользователя, тем самым получив более высокие привилегии. Когда CubeFS создает новых пользователей, он создает часть конфиденциальной информации для пользователя, называемой «accessKey». Для создания «accesKey» CubeFS использует небезопасный генератор строк, который позволяет легко угадать и, следовательно, выдать себя за созданного пользователя. Злоумышленник может использовать предсказуемый генератор случайных строк и угадать ключ доступа пользователя и выдать себя за пользователя, чтобы получить более высокие привилегии. Проблема была исправлена в версии 3.3.1. Нет другого способа смягчить проблему, кроме обновления.