{"id":115524,"date":"2024-05-04T01:52:09","date_gmt":"2024-05-03T23:52:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu"},"modified":"2024-05-04T01:52:09","modified_gmt":"2024-05-03T23:52:09","slug":"obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","title":{"rendered":"Umgehung der Verifizierung in der Bibliothek xml-crypto, die w\u00f6chentlich eine Million Downloads z\u00e4hlt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der JavaScript-Bibliothek xml-crypto, die in 402 Projekten als Abh\u00e4ngigkeit verwendet wird und w\u00f6chentlich etwa eine Million Mal aus dem NPM-Verzeichnis heruntergeladen wird, wurde eine Schwachstelle (CVE-2024-32962) entdeckt, die den h\u00f6chsten Gefahrenlevel (10 von 10) erhalten hat. Die Bibliothek bietet Funktionen zum Verschl\u00fcsseln und Verifizieren von XML-Dokumenten anhand digitaler Signaturen. Die Schwachstelle erm\u00f6glicht es einem Angreifer, ein gef\u00e4lschtes Dokument zu signieren, das in der Standardkonfiguration erfolgreich von der Bibliothek verifiziert wird, obwohl es nicht mit dem f\u00fcr die Signaturpr\u00fcfung angegebenen Schl\u00fcssel signiert ist. Das Problem tritt ab der Version xml-crypto 4.0.0 auf und wurde ohne gro\u00dfe \u00d6ffentlichkeitsarbeit in der Januarausgabe 6.0.0 behoben. <\/p>\n
Die Schwachstelle resultiert daraus, dass die Bibliothek in der Standardkonfiguration den Ersteller der Signatur nicht autorisiert, sondern nur die Korrektheit der Signatur selbst \u00fcberpr\u00fcft. Insbesondere vertraut die Bibliothek jedem Zertifikat, das im signierten Dokument im XML-Element KeyInfo abgelegt ist, selbst wenn in den Einstellungen die Verwendung eines bestimmten Zertifikats zur \u00dcberpr\u00fcfung digitaler Signaturen angegeben ist. Daher reicht es f\u00fcr einen Angreifer aus, die originale digitale Signatur durch eine Signatur zu ersetzen, die mit seinem privaten Schl\u00fcssel erstellt wurde, und das damit verbundene Zertifikat (\u00f6ffentlicher Schl\u00fcssel) im Element KeyInfo abzulegen, um eine modifizierte Dokumentenverifizierung erfolgreich durchzuf\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"