Insecure randomness in socket.io

高 7.5CVE-2017-16031 · GHSA-qv2v-m59f-v5fw · 04/06/2018 公開 · 17/06/2026 更新

要点

CVE-2017-16031 は socket.io (socket), socket.io に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.0%（全脆弱性の 80.4% より高い）。
対処：0.9.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
socket.io socket	`≤ 0.9.6`	修正版なし
socket.io npm	`< 0.9.7`	`0.9.7`

概要

Affected versions of socket.io depend on Math.random() to create socket IDs, and therefore the IDs are predictable. With enough information on prior IDs, an attacker may be able to guess the socket ID and gain access to socket.io servers without authorization.

Recommendation

Update to v0.9.7 or later.

NVD の説明

Socket.io is a realtime application framework that provides communication via websockets. Because socket.io 0.9.6 and earlier depends on `Math.random()` to create socket IDs, the IDs are predictable. An attacker is able to guess the socket ID and gain access to socket.io servers, potentially obtaining sensitive information.