PubNub熵不足漏洞分析

漏洞概述

CVE-2023-26154是一个影响PubNub多个编程语言版本的中等严重性安全漏洞，涉及熵不足问题。

受影响版本

NuGet包

• 受影响版本：< 6.19.0
• 已修复版本：6.19.0

Maven包

• com.pubnub:pubnub：所有版本均受影响
• com.pubnub:pubnub-kotlin：< 7.7.0
• 已修复版本：7.7.0

Go模块

• github.com/pubnub/go：< 0.0.0-20231016150651-428517fef5b9
• github.com/pubnub/go/v7：< 7.2.0
• 其他多个Go版本受影响

其他包管理器

• Swift：< 6.2.0
• npm：< 7.4.0
• RubyGems：< 5.3.0
• Rust：< 0.4.0
• Pub：< 4.3.0
• pip：< 7.3.0
• Composer：< 6.1.0

漏洞详情

该漏洞存在于getKey函数中，由于AES-256-CBC加密算法的实现效率不足。当应用十六进制编码和修剪时，提供的加密函数安全性降低，导致每个编码消息或文件的密钥中有一半的位始终保持相同。

重要说明：攻击者需要投入资源准备攻击并进行暴力破解加密才能利用此漏洞。

技术影响

• 弱点类型：CWE-331 熵不足
• CVSS评分：5.9（中等）
• 攻击向量：网络
• 攻击复杂度：高
• 所需权限：无
• 用户交互：无
• 影响范围：机密性高，完整性和可用性无影响

参考链接

• NVD漏洞详情：https://nvd.nist.gov/vuln/detail/CVE-2023-26154
• GitHub修复提交：pubnub/javascript@fb6cd04
• 各语言包安全公告链接
• GHSA ID：GHSA-5844-q3fc-56rh

时间线

• 国家漏洞数据库发布：2023年12月6日
• GitHub咨询数据库发布：2023年12月6日
• 最后更新：2025年7月22日