В системе Sakai (версии до 23.5 и 25.0) сервис EncryptionUtilityServiceImpl генерировал пароль AES256TextEncryptor (serverSecretKey) с помо…

В системе Sakai (версии до 23.5 и 25.0) сервис EncryptionUtilityServiceImpl генерировал пароль AES256TextEncryptor (serverSecretKey) с помощью RandomStringUtils, использующего java.util.Random — генератор, не предназначенный для криптографических целей. Такой PRNG предсказуем при знании начального состояния (например, времени старта), что значительно сокращает пространство поиска ключа. При наличии зашифрованных строк (например, экспортированных или хранящихся в базе) атакующий, угадав сид, может восстановить serverSecretKey и расшифровать данные. Уязвимость исправлена заменой Random на SecureRandom и изменением генерации пароля. Источники: - [1] https://github.com/sakaiproject/sakai/security/advisories/GHSA-gr7h-xw4f-wh86 - [2] https://github.com/sakaiproject/sakai/commit/bde070104b1de01f4a6458dca6d9e0880a0e3c04