{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"Eine Schwachstelle in der Bibliothek OpenPGP.js, die die \u00dcberpr\u00fcfung von Nachrichten umgehen kann.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Bibliothek OpenPGP.js wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2025-47934) festgestellt, die es einem Angreifer erm\u00f6glicht, eine modifizierte Nachricht zu senden, die vom Empf\u00e4nger als verifiziert angesehen wird (die Funktionen openpgp.verify und openpgp.decrypt geben an, dass die digitale Signatur erfolgreich \u00fcberpr\u00fcft wurde, obwohl der Inhalt ersetzt und von den Daten abweicht, f\u00fcr die die Signatur erstellt wurde). Die Schwachstelle wurde in den Versionen OpenPGP.js 5.11.3 und 6.1.1 behoben. Das Problem tritt nur in den Zweigen OpenPGP.js 5.x und 6.x auf und betrifft nicht OpenPGP.js 4.x. <\/p>\n
Die Bibliothek OpenPGP.js bietet eine eigenst\u00e4ndige Implementierung des OpenPGP-Protokolls in JavaScript, die es erm\u00f6glicht, im Browser Verschl\u00fcsselungsoperationen durchzuf\u00fchren und mit digitalen Signaturen auf Basis \u00f6ffentlicher Schl\u00fcssel zu arbeiten. Das Projekt wird von den Entwicklern von Proton Mail vorangetrieben und wird neben der Bereitstellung von Ende-zu-Ende-Verschl\u00fcsselung f\u00fcr Nachrichten in Proton Mail auch in Projekten wie FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere und Passbolt eingesetzt. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit betrifft die Verifikationsverfahren, die in den Text der Signatur eingebettet sind (openpgp.verify) sowie bei signierten und verschl\u00fcsselten Nachrichten (openpgp.decrypt). Ein Angreifer kann vorhandene signierte Nachrichten nutzen, um neue Nachrichten zu erstellen, bei deren Entpackung die anf\u00e4llige Version von OpenPGP.js den eingef\u00fcgten Inhalt extrahiert, der von dem Inhalt der urspr\u00fcnglichen signierten Nachricht abweicht. Die Schwachstelle betrifft nicht Signaturen, die getrennt vom Text verbreitet werden (das Problem tritt nur auf, wenn die Signatur zusammen mit dem Text als ein einzelnes Datenpaket \u00fcbertragen wird). <\/p>\n
Um eine gef\u00e4lschte Nachricht zu erstellen, ben\u00f6tigt der Angreifer lediglich eine Nachricht mit einer eingebetteten oder separaten Signatur sowie Kenntnis der im Originaldokument signierten Daten. Der Angreifer kann die Nachricht so \u00e4ndern, dass die Signatur f\u00fcr die modifizierte Version weiterhin als g\u00fcltig angesehen wird. Ebenso k\u00f6nnen signierte verschl\u00fcsselte Nachrichten ver\u00e4ndert werden, bei deren Entpackung die hinzugef\u00fcgten Daten des Angreifers zur\u00fcckgegeben werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"