Insufficient Entropy in cryptiles

緊急 9.8CVE-2018-1000620 · GHSA-rq8g-5pc5-wrhr · 09/07/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1000620 は cryptiles (cryptiles project), cryptiles に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.7%（全脆弱性の 77.1% より高い）。
対処：4.1.2, 3.1.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
cryptiles cryptiles_project	`≥ 4.1.0, < 4.1.2< 3.1.3`	`4.1.23.1.3`
cryptiles npm	`≥ 3.1.0, < 3.1.3≥ 4.0.0, < 4.1.2`	`3.1.34.1.2`

概要

Versions of cryptiles prior to 4.1.2 are vulnerable to Insufficient Entropy. The randomDigits() method does not provide sufficient entropy and its generates digits that are not evenly distributed.

Recommendation

Upgrade to version 4.1.2. The package is deprecated and has been moved to @hapi/cryptiles and it is strongly recommended to use the maintained package.

NVD の説明

Eran Hammer cryptiles version 4.1.1 earlier contains a CWE-331: Insufficient Entropy vulnerability in randomDigits() method that can result in An attacker is more likely to be able to brute force something that was supposed to be random.. This attack appear to be exploitable via Depends upon the calling application.. This vulnerability appears to have been fixed in 4.1.2.

参考情報

nvd.nist.gov/vuln/detail/CVE-2018-1000620 · ADVISORY
hapijs/cryptiles · WEB
hapijs/cryptiles · WEB
hapijs/cryptiles commit 6bdcd0f · WEB
hapijs/cryptiles commit 9332d42 · WEB
hapijs/cryptiles commit cb6bd64 · WEB
hapijs/cryptiles · PACKAGE
nodejs/security-wg · WEB
npmjs.com/advisories/1464 · WEB
npmjs.com/advisories/720 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

cryptiles

cryptiles_project

≥ 4.1.0, < 4.1.2< 3.1.3

4.1.23.1.3

cryptiles

npm

≥ 3.1.0, < 3.1.3≥ 4.0.0, < 4.1.2

3.1.34.1.2

概要

Recommendation

Upgrade to version 4.1.2. The package is deprecated and has been moved to @hapi/cryptiles and it is strongly recommended to use the maintained package.

NVD の説明