{"id":115524,"date":"2024-05-04T01:52:09","date_gmt":"2024-05-03T23:52:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu"},"modified":"2024-05-04T01:52:09","modified_gmt":"2024-05-03T23:52:09","slug":"obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","title":{"rendered":"Contourner la v\u00e9rification dans la biblioth\u00e8que xml-crypto, qui compte un million de t\u00e9l\u00e9chargements par semaine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans la biblioth\u00e8que JavaScript xml-crypto, utilis\u00e9e comme d\u00e9pendance par 402 projets et t\u00e9l\u00e9charg\u00e9e depuis le r\u00e9pertoire NPM environ un million de fois chaque semaine, une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e (CVE-2024-32962) qui a re\u00e7u le niveau de dangerosit\u00e9 maximum (10 sur 10). La biblioth\u00e8que fournit des fonctions pour le chiffrement et la v\u00e9rification des signatures num\u00e9riques des documents XML. La vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant de certifier un document fictif qui, dans la configuration par d\u00e9faut, sera v\u00e9rifi\u00e9 avec succ\u00e8s par la biblioth\u00e8que, m\u00eame s'il est sign\u00e9 avec une cl\u00e9 diff\u00e9rente de celle sp\u00e9cifi\u00e9e pour la v\u00e9rification des signatures. Le probl\u00e8me appara\u00eet \u00e0 partir de la version xml-crypto 4.0.0 et a \u00e9t\u00e9 corrig\u00e9 sans bruit dans la version 6.0.0 de janvier. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par le fait que, dans la configuration par d\u00e9faut, la biblioth\u00e8que n'autorise pas le cr\u00e9ateur de la signature, mais v\u00e9rifie uniquement la validit\u00e9 m\u00eame de la signature. En particulier, la biblioth\u00e8que fait confiance \u00e0 tout certificat plac\u00e9 dans le document sign\u00e9 dans l'\u00e9l\u00e9ment XML KeyInfo, m\u00eame si les param\u00e8tres sp\u00e9cifient l'utilisation d'un certificat particulier pour la v\u00e9rification des signatures num\u00e9riques. Ainsi, pour r\u00e9ussir la v\u00e9rification d'un document modifi\u00e9, l'attaquant n'a qu'\u00e0 remplacer la signature num\u00e9rique originale par une signature form\u00e9e avec sa propre cl\u00e9 priv\u00e9e et \u00e0 placer le certificat associ\u00e9 \u00e0 cette cl\u00e9 priv\u00e9e (cl\u00e9 publique) dans l'\u00e9l\u00e9ment KeyInfo. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"