{"id":115524,"date":"2024-05-04T01:52:09","date_gmt":"2024-05-03T23:52:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu"},"modified":"2024-05-04T01:52:09","modified_gmt":"2024-05-03T23:52:09","slug":"obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","title":{"rendered":"Eludir la verificaci\u00f3n en la biblioteca xml-crypto, que tiene un mill\u00f3n de descargas por semana","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha descubierto una vulnerabilidad (CVE-2024-32962) en la biblioteca xml-crypto de JavaScript, utilizada como dependencia en 402 proyectos y descargada aproximadamente un mill\u00f3n de veces cada semana, que ha sido clasificada con el nivel m\u00e1ximo de peligrosidad (10 de 10). La biblioteca proporciona funciones para la encriptaci\u00f3n y verificaci\u00f3n de documentos XML a trav\u00e9s de firmas digitales. La vulnerabilidad permite a un atacante certificar un documento falso, que en la configuraci\u00f3n predeterminada ser\u00e1 verificado exitosamente por la biblioteca, a pesar de que est\u00e9 firmado con una clave que no es la especificada para la verificaci\u00f3n de firmas. El problema se manifiesta a partir de la versi\u00f3n xml-crypto 4.0.0 y fue solucionado sin demasiada publicidad en la versi\u00f3n 6.0.0 de enero. <\/p>\n
La vulnerabilidad se debe a que en la configuraci\u00f3n predeterminada la biblioteca no autoriza al creador de la firma, sino que solo verifica la validez de la firma misma. En particular, la biblioteca conf\u00eda en cualquier certificado que est\u00e9 presente en el documento firmado en el elemento XML KeyInfo, incluso si en la configuraci\u00f3n se indica el uso de un certificado espec\u00edfico para verificar las firmas digitales. De esta manera, para una verificaci\u00f3n exitosa de un documento modificado, el atacante solo necesita reemplazar la firma digital original por una firma generada con su propia clave privada y colocar el certificado correspondiente a esa clave privada (clave p\u00fablica) en el elemento KeyInfo. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"