Заобикаляне на верификацията в библиотеката xml-crypto, която има милион изтегляния седмично

В JavaScript библиотеката xml-crypto, използвана като зависимост от 402 проекта и изтегляна от каталога NPM около милион пъти всяка седмица, е открита уязвимост (CVE-2024-32962), на която е присвоен максимален ниво на опасност (10 от 10). Библиотеката предоставя функции за криптиране и верификация на цифрови подписи на XML документи. Уязвимостта позволява на нападателя да подпише фалшив документ, който по подразбиране ще бъде успешно верифициран от библиотеката, въпреки че е подписан не с ключа, указан за проверка на подписите. Проблемът се проявява от версия xml-crypto 4.0.0 и е отстранен без излишна публичност в януарското издание 6.0.0.

Уязвимостта е причинена от това, че по подразбиране библиотеката не удостоверява създателя на подписа, а проверява само коректността на самия подпис. По-специално, библиотеката се доверява на всеки сертификат, разположен в подписания документ в XML елемента KeyInfo, дори ако в настройките е посочено използването на конкретен сертификат за проверка на цифровите подписи. По този начин, за успешна верификация на модифициран документ, на нападателя му е достатъчно да замени оригиналната цифрова подписка с подпис, съставен с неговия частен ключ, и да постави свързания с този частен ключ сертификат (публичен ключ) в елемента KeyInfo.

Източник: opennet.ru