低危 Rclone加密问题漏洞
CVE编号
CVE-2020-28924利用情况
暂无补丁情况
官方补丁披露时间
2020-11-20漏洞描述
Rclone是Rclone团队的一个可以从云存储异步同步数据的软件。该软件支持 Google Drive, Amazon Drive, S3, Dropbox, Backblaze B2, One Drive, Swift, Hubic, Cloudfiles, Google Cloud Storage, Yandex Files等云存储。1.53.3之前在Rclone中发现了一个问题。由于使用了弱随机数生成器，因此密码生成器一直在生成弱熵，其熵比公告的要少得多。建议的密码确定性地取决于第二个rclone的启动时间。这极大地限制了密码的熵。这些密码通常在crypt后端中用于数据加密。可以制作一个所有可能的密码的字典，每个密码长度约有3800万个条目。这将使合理的工作量就可以解密秘密材料。注意：应更改受影响版本生成的所有密码。解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://github.com/rclone/rclone/commit/7985df37681f54d013816a4641da4f9b085b3aa5
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | rclone | rclone | * | Up to (excluding) 1.53.3 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | rclone | * | Up to (excluding) 1.45-3 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | rclone | * | Up to (excluding) 1.53.3-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | rclone | * | Up to (excluding) 1.53.3-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | rclone | * | Up to (excluding) 1.53.3-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_33 | rclone-debugsource | * | Up to (excluding) 1.53.3-1.fc33 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_EPEL_8 | rclone-debugsource | * | Up to (excluding) 1.53.3-1.el8 | |||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.1 | rclone | * | Up to (excluding) 1.53.3-lp151.3.6.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.2 | rclone | * | Up to (excluding) 1.53.3-lp152.2.3.1 | |||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 无需权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
| CWE-ID | 漏洞类型 |
| CWE-331 | 信息熵不充分 |
| CWE-338 | 使用具有密码学弱点缺陷的PRNG |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论