{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans la biblioth\u00e8que OpenPGP.js permettant de contourner la v\u00e9rification des messages","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans la biblioth\u00e8que OpenPGP.js (CVE-2025-47934), permettant \u00e0 un attaquant d'envoyer un message modifi\u00e9, qui sera per\u00e7u par le destinataire comme v\u00e9rifi\u00e9 (les fonctions openpgp.verify et openpgp.decrypt renverront un indicateur de v\u00e9rification r\u00e9ussie de la signature num\u00e9rique, m\u00eame si le contenu a \u00e9t\u00e9 remplac\u00e9 et diff\u00e8re des donn\u00e9es pour lesquelles la signature a \u00e9t\u00e9 cr\u00e9\u00e9e). La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les versions OpenPGP.js 5.11.3 et 6.1.1. Le probl\u00e8me se manifeste uniquement dans les branches OpenPGP.js 5.x et 6.x, sans affecter OpenPGP.js 4.x. <\/p>\n
La biblioth\u00e8que OpenPGP.js fournit une impl\u00e9mentation autonome du protocole OpenPGP en JavaScript, permettant d'effectuer des op\u00e9rations de cryptage dans le navigateur et de travailler avec des signatures num\u00e9riques bas\u00e9es sur des cl\u00e9s publiques. Le projet est d\u00e9velopp\u00e9 par les cr\u00e9ateurs de Proton Mail et, en plus de l'organisation du chiffrement de bout en bout des messages dans Proton Mail, il est utilis\u00e9 dans des projets comme FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere et Passbolt. <\/p>\n
La vuln\u00e9rabilit\u00e9 concerne les proc\u00e9dures de v\u00e9rification int\u00e9gr\u00e9es dans le texte de la signature (openpgp.verify) et les messages sign\u00e9s et chiffr\u00e9s (openpgp.decrypt). Un attaquant peut utiliser des messages sign\u00e9s existants pour cr\u00e9er de nouveaux messages, dans lesquels une version vuln\u00e9rable d'OpenPGP.js extraira le contenu substitu\u00e9, diff\u00e9rent de celui du message sign\u00e9 d'origine. La vuln\u00e9rabilit\u00e9 n'affecte pas les signatures diffus\u00e9es s\u00e9par\u00e9ment du texte (le probl\u00e8me se manifeste uniquement lors de la transmission de la signature avec le texte dans un seul bloc de donn\u00e9es). <\/p>\n
Pour cr\u00e9er un message frauduleux, il suffit \u00e0 l'attaquant d'avoir un message avec une signature int\u00e9gr\u00e9e ou s\u00e9par\u00e9e, ainsi que de conna\u00eetre les donn\u00e9es d'origine sign\u00e9es dans ce message. L'attaquant peut modifier le message de telle sorte que la signature continue d'\u00eatre consid\u00e9r\u00e9e comme valide pour la version modifi\u00e9e. De m\u00eame, il est possible de modifier des messages chiffr\u00e9s avec signature, pour lesquels des donn\u00e9es ajout\u00e9es par l'attaquant seront retourn\u00e9es lors de la d\u00e9compression. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"