{"id":115524,"date":"2024-05-04T01:52:09","date_gmt":"2024-05-03T23:52:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu"},"modified":"2024-05-04T01:52:09","modified_gmt":"2024-05-03T23:52:09","slug":"obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","title":{"rendered":"Umgehung der Verifizierung in der JavaScript-Bibliothek xml-crypto, die eine Million Downloads pro Woche hat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der JavaScript-Bibliothek xml-crypto, die als Abh\u00e4ngigkeit in 402 Projekten verwendet wird und w\u00f6chentlich etwa eine Million Mal aus dem NPM-Verzeichnis heruntergeladen wird, wurde eine Schwachstelle (CVE-2024-32962) entdeckt, die als hochgef\u00e4hrlich eingestuft wird (10 von 10). Die Bibliothek bietet Funktionen zum Verschl\u00fcsseln und \u00dcberpr\u00fcfen von digitalen Signaturen von XML-Dokumenten. Die Schwachstelle erm\u00f6glicht es einem Angreifer, ein gef\u00e4lschtes Dokument zu signieren, das in der Standardkonfiguration erfolgreich von der Bibliothek verifiziert wird, obwohl es nicht mit dem f\u00fcr die \u00dcberpr\u00fcfung der Signaturen angegebenen Schl\u00fcssel signiert ist. Das Problem tritt ab Version xml-crypto 4.0.0 auf und wurde ohne gro\u00dfes Aufsehen in der Januar-Version 6.0.0 behoben. <\/p>\n
Die Schwachstelle entsteht daraus, dass die Bibliothek in der Standardkonfiguration den Ersteller der Signatur nicht authentifiziert, sondern nur die Korrektheit der Signatur selbst pr\u00fcft. Insbesondere vertraut die Bibliothek jedem Zertifikat, das im signierten Dokument im XML-Element KeyInfo platziert ist, selbst wenn in den Einstellungen die Verwendung eines bestimmten Zertifikats zur \u00dcberpr\u00fcfung digitaler Signaturen angegeben ist. Somit reicht es f\u00fcr einen Angreifer aus, die originale digitale Signatur durch eine Signatur, die mit seinem privaten Schl\u00fcssel erstellt wurde, zu ersetzen und das zugeh\u00f6rige Zertifikat (\u00f6ffentlicher Schl\u00fcssel) im Element KeyInfo zu platzieren, um eine modifizierte Dokumentenverifizierung erfolgreich durchzuf\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"