{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"En s\u00e5rbarhed i biblioteket OpenPGP.js, der muligg\u00f8r omg\u00e5else af meddelelseverificering.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I OpenPGP.js-biblioteket er der opdaget en s\u00e5rbarhed (CVE-2025-47934), der g\u00f8r det muligt for en angriber at sende en modificeret besked, som modtageren vil opfatte som verificeret (funktionerne openpgp.verify og openpgp.decrypt vil returnere et tegn p\u00e5 en vellykket kontrol af den digitale signatur, selvom indholdet er blevet \u00e6ndret og adskiller sig fra de data, signaturen blev oprettet for). S\u00e5rbarheden er blevet udbedret i versionerne OpenPGP.js 5.11.3 og 6.1.1. Problemet opst\u00e5r kun i versionerne OpenPGP.js 5.x og 6.x, og ber\u00f8rer ikke OpenPGP.js 4.x. <\/p>\n
OpenPGP.js-biblioteket tilbyder en selvforsynende implementering af OpenPGP-protokollen i JavaScript, som muligg\u00f8r kryptering i browseren og arbejde med digitale signaturer baseret p\u00e5 offentlige n\u00f8gler. Projektet udvikles af Proton Mail-udviklere og anvendes udover at organisere end-to-end-kryptering af beskeder i Proton Mail i projekter som FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere og Passbolt. <\/p>\n
S\u00e5rbarheden ber\u00f8rer verifikationsprocedurerne indbygget i tekstsignaturen (openpgp.verify) samt for signeret og krypteret beskeder (openpgp.decrypt). En angriber kan anvende eksisterende signerede beskeder til at danne nye beskeder, hvorved den s\u00e5rbare version af OpenPGP.js vil udpakke det indsatte indhold, som adskiller sig fra indholdet af den oprindelige signerede besked. S\u00e5rbarheden p\u00e5virker ikke signaturer, der distribueres separat fra teksten (problemet opst\u00e5r kun ved overf\u00f8rsel af signaturen sammen med teksten som en samlet datablok). <\/p>\n
For at danne en falsk besked er det tilstr\u00e6kkeligt for angriberen at have et enkelt besked med en indbygget eller separat signatur samt kendskab til de oprindelige data, der er blevet signeret i denne besked. Angriberen kan \u00e6ndre beskeden, s\u00e5 signaturen fortsat anses for korrekt for den \u00e6ndrede version. Tilsvarende kan der foretages \u00e6ndringer i krypterede beskeder med signatur, hvorved de data, der er tilf\u00f8jet af angriberen, vil blive returneret ved udpakning. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"