GitHub on blokeerinud SSH-võtmed, mis on genereeritud keypair raamatukogu abil.

GitHub on blokeerinud SSH-võtmed Git-klientide kasutajatelt, kes genereerivad võtmeid JavaScripti raamatukogu keypair abil. Näiteks langes blokeeringu alla GitKlienti GitKraken võtmed. Haavatavus viib ettearvamatute RSA-võtmete loomisele, kuna viga vähendab oluliselt juhuslike järjestuste genereerimise kvaliteeti võtmete jaoks. Probleem on lahendatud keypair versioonides 1.0.4 ja GitKraken 8.0.1.

Haavatavuse põhjustas võtme genereerimise protsessis päring "b.putByte(String.fromCharCode(next & 0xFF))", kus meetod putByte kutsus uuesti välja meetodi fromCharCode. Kahekordne kutsumine meetodile fromCharCode ("String.fromCharCode( String.fromCharCode(next & 0xFF) )") viis selleni, et suur osa buffriga, mille entropia oli, oli täidetud nullidega, st võtme genereerimine põhines "juhuslikest" andmetest, mis koosnesid 97% ulatuses nullidest.

Allikas: opennet.ru