目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CWE-331 信息熵不充分 类漏洞列表 63

CWE-331 信息熵不充分 类弱点 63 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-331属于随机数生成缺陷，指系统使用的算法产生的熵值不足，导致输出值存在可预测的模式或聚集现象。攻击者利用此漏洞，通过分析历史数据或数学规律，推测出看似随机的密钥、会话ID或令牌，从而实施身份伪造或会话劫持。开发者应避免使用线性同余等弱伪随机数生成器，转而采用操作系统提供的加密级安全随机数源，确保生成的数值具备足够的不可预测性。

MITRE CWE 官方描述
CWE：CWE-331 Insufficient Entropy（熵不足） 英文：The product uses an algorithm or scheme that produces insufficient entropy, leaving patterns or clusters of values that are more likely to occur than others. 译文：该产品使用了产生熵不足的算法或方案，导致出现某些模式或数值簇，其出现概率高于其他数值。
常见影响 (1)
Access Control, OtherBypass Protection Mechanism, Other
An attacker could guess the random numbers generated and could gain unauthorized access to a system if the random numbers are used for authentication and authorization.
缓解措施 (1)
ImplementationDetermine the necessary entropy to adequately provide for randomness and predictability. This can be achieved by increasing the number of bits of objects such as keys and seeds.
代码示例 (2)
This code generates a unique random identifier for a user's session.
function generateSessionID($userID){ srand($userID); return rand(); }
Bad · PHP
The following code uses a statistical PRNG to create a URL for a receipt that remains active for some period of time after a purchase.
String GenerateReceiptURL(String baseUrl) { Random ranGen = new Random(); ranGen.setSeed((new Date()).getTime()); return(baseUrl + ranGen.nextInt(400000000) + ".html"); }
Bad · Java
CVE ID标题CVSS风险等级Published
CVE-2017-2625 libXdmcp 安全特征问题漏洞 — libXdmcp 7.1 -2018-07-27
CVE-2017-13992 LOYTEC LVIS-3ME 安全漏洞 — LOYTEC LVIS-3ME 8.1 -2017-10-05
CVE-2012-4687 Post Oak Traffic Systems AWAM Bluetooth Reader 未充分加密漏洞 — AWAM Bluetooth Reader Traffic System 6.8 -2012-12-08

CWE-331（信息熵不充分） 是常见的弱点类别，本平台收录该类弱点关联的 63 条 CVE 漏洞。