https://blog.qife122.com/tags/prng%E6%BC%8F%E6%B4%9E/ Recent content in PRNG漏洞 on 办公AI智能小助手 Hugo zh-cn qife Sun, 26 Oct 2025 20:14:50 +0800 https://blog.qife122.com/p/sakai%E5%86%85%E6%A0%B8%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%8F%AF%E9%A2%84%E6%B5%8Bprng%E5%AF%BC%E8%87%B4%E6%9C%8D%E5%8A%A1%E5%99%A8%E7%AB%AF%E5%8A%A0%E5%AF%86%E5%AF%86%E9%92%A5%E6%98%93%E8%A2%AB%E7%A0%B4%E8%A7%A3/ Sun, 26 Oct 2025 20:14:50 +0800 https://blog.qife122.com/p/sakai%E5%86%85%E6%A0%B8%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%8F%AF%E9%A2%84%E6%B5%8Bprng%E5%AF%BC%E8%87%B4%E6%9C%8D%E5%8A%A1%E5%99%A8%E7%AB%AF%E5%8A%A0%E5%AF%86%E5%AF%86%E9%92%A5%E6%98%93%E8%A2%AB%E7%A0%B4%E8%A7%A3/ <h1 id="sakai内核安全漏洞可预测prng导致服务器端加密密钥易被破解">Sakai内核安全漏洞：可预测PRNG导致服务器端加密密钥易被破解</h1> <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包名</strong>: maven - org.sakaiproject.kernel:sakai-kernel-impl (Maven)</p> <p><strong>受影响版本</strong>: &lt;= 23.3</p> <p><strong>已修复版本</strong>: 无</p> <h2 id="漏洞描述">漏洞描述</h2> <h3 id="影响">影响</h3> <p>EncryptionUtilityServiceImpl 使用 RandomStringUtils 和默认的 java.util.Random 初始化 AES256TextEncryptor 密码（serverSecretKey）。java.util.Random 是一个非加密的伪随机数生成器（PRNG），可以从有限的状态/种子信息（例如启动时间窗口）进行预测，这显著降低了生成密钥的有效搜索空间。攻击者如果能够获取密文（例如受此服务保护的导出或静态字符串）并近似估计PRNG种子，就可以可行地重构serverSecretKey并解密受影响的数据。</p>