{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"Vulnerabilidad en la biblioteca OpenPGP.js que permite eludir la verificaci\u00f3n de mensajes.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha descubierto una vulnerabilidad en la biblioteca OpenPGP.js (CVE-2025-47934) que permite a un atacante enviar un mensaje modificado que ser\u00e1 percibido por el receptor como verificado (las funciones openpgp.verify y openpgp.decrypt devolver\u00e1n un indicador de verificaci\u00f3n exitosa de la firma digital, a pesar de que el contenido ha sido reemplazado y difiere de los datos para los cuales se cre\u00f3 la firma). La vulnerabilidad se ha corregido en las versiones OpenPGP.js 5.11.3 y 6.1.1. El problema solo se manifiesta en las ramas OpenPGP.js 5.x y 6.x, y no afecta a OpenPGP.js 4.x. <\/p>\n
La biblioteca OpenPGP.js proporciona una implementaci\u00f3n completa del protocolo OpenPGP en JavaScript, permitiendo realizar operaciones de cifrado en el navegador y trabajar con firmas digitales basadas en claves p\u00fablicas. El proyecto es desarrollado por los creadores de Proton Mail y, adem\u00e1s de facilitar el cifrado de extremo a extremo de mensajes en Proton Mail, se utiliza en proyectos como FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere y Passbolt. <\/p>\n
La vulnerabilidad afecta los procedimientos de verificaci\u00f3n integrados en la firma de texto (openpgp.verify) y de los mensajes firmados y cifrados (openpgp.decrypt). Un atacante puede utilizar mensajes firmados existentes para crear nuevos mensajes, en la que la versi\u00f3n vulnerable de OpenPGP.js extraer\u00e1 el contenido substituido al descomprimir, que difiere del contenido del mensaje firmado original. La vulnerabilidad no afecta a las firmas que se distribuyen por separado del texto (el problema solo se manifiesta al transferir la firma junto con el texto como un solo bloque de datos). <\/p>\n
Para crear un mensaje falsificado, el atacante solo necesita tener un mensaje con una firma incorporada o separada, as\u00ed como conocer los datos originales firmados en ese mensaje. El atacante puede modificar el mensaje de tal manera que la firma siga consider\u00e1ndose v\u00e1lida para la versi\u00f3n modificada. Asimismo, se pueden modificar mensajes cifrados con firma, de los cuales se devolver\u00e1n los datos a\u00f1adidos por el atacante al descomprimir. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"