Vulnerabilidad en CubeFS (CVE-2023-46740)

CubeFS es un sistema de almacenamiento de archivos nativo de la nube de código abierto. Antes de la versión 3.3.1, CubeFS usaba un generador de cadenas aleatorias inseguras para generar claves confidenciales específicas del usuario utilizadas para autenticar a los usuarios en una implementación de CubeFS. Esto podría permitir a un atacante predecir y/o adivinar la cadena generada y hacerse pasar por un usuario, obteniendo así mayores privilegios. Cuando CubeFS crea nuevos usuarios, crea una información confidencial para el usuario llamada "clave de acceso". Para crear la "clave de acceso", CubeFS utiliza un generador de cadenas inseguro que hace que sea fácil de adivinar y, por lo tanto, suplantar al usuario creado. Un atacante podría aprovechar el predecible generador de cadenas aleatorias y adivinar la clave de acceso de un usuario y hacerse pasar por el usuario para obtener mayores privilegios. El problema se solucionó en v3.3.1. No hay otra mitigación que actualizar.