Vulnerabilidad en los métodos "Math.random" y "crypto.getRandomValues" en JS Compute Runtime para la plataforma Compute@Edge de Fastly (CVE-2022-39218)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
20/09/2022
Última modificación:
21/09/2022
Descripción
El JS Compute Runtime para la plataforma Compute@Edge de Fastly proporciona el entorno en el que se ejecuta JavaScript cuando se usa el SDK de JavaScript de Compute@Edge. En versiones anteriores a 0.5.3, los métodos "Math.random" y "crypto.getRandomValues" no usan valores suficientemente aleatorios. El valor inicial para sembrar el PRNG (generador de números pseudoaleatorios) está incorporado en el módulo final de WebAssembly, haciendo que la secuencia de valores aleatorios para ese módulo específico de WebAssembly sea predecible. Un atacante puede usar la semilla fija para predecir los números aleatorios generados por estas funciones y omitir los controles de seguridad criptográficos, por ejemplo para divulgar datos confidenciales cifrados por las funciones que usan estos generadores. El problema ha sido parcheado en versión 0.5.3. No se presentan mitigaciones conocidas
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:fastly:js-compute:*:*:*:*:*:node.js:*:* | 0.5.3 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página