Забавяне на верификацията в библиотеката xml-crypto, която се изтегля около милион пъти на седмица

В библиотеката xml-crypto на JavaScript, използвана като зависимост в 402 проекта и сваляна от каталога NPM около милион пъти всяка седмица, е установена уязвимост (CVE-2024-32962), на която е присвоен максимален ниво на опасност (10 от 10). Библиотеката предоставя функции за криптиране и верификация по цифрова подписка на XML-документи. Уязвимостта позволява на нападателя да завери фалшив документ, който при настройката по подразбиране ще бъде успешно верифициран от библиотеката, въпреки че е подписан не с този ключ, който е посочен за проверка на подписите. Проблемът се проявява от версия xml-crypto 4.0.0 и е отстранен в януарското издание 6.0.0 без да се прави излишна публичност.

Уязвимостта е причинена от факта, че в конфигурацията по подразбиране библиотеката не удостоверява създателя на подписа, а проверява само коректността на самия подпис. В частност, библиотеката се доверява на всеки сертификат, поставен в подписания документ в XML елемента KeyInfo, дори ако в настройките е посочено използването на конкретен сертификат за проверка на цифровите подписи. Така, за успешна верификация на модифицирания документ на нападателя му е достатъчно да замени оригиналния цифров подпис с подпис, създаден с неговия личен ключ, и да постави свързания с него сертификат (публичен ключ) в елемента KeyInfo.

Източник: opennet.ru