CVE-2020-35926
Publiée le 2020-12-31 · Dernière modification le 2026-06-17
Les applications utilisant la caisse Rust `nanorand` en version 0.5.0 ou antérieure sont affectées par un bug qui conduit les générateurs de nombres aléatoires à ne renvoyer que des zéros. Un attaquant peut exploiter cette prévisibilité pour contourner les mécanismes de sécurité reposant sur l'aléatoire, tels que les jetons de session ou les clés de chiffrement, entraînant une compromission complète du système. Cette action peut être exécutée à distance via un réseau, sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in the nanorand crate before 0.5.1 for Rust. It caused any random number generator (even ChaCha) to return all zeroes because integer truncation was mishandled.