GitHub je blokirao SSH ključeve korisnika Git klijenata koji koriste JavaScript biblioteku keypair za generiranje ključeva. Na primjer, pod blokadu su pali ključevi Git klijenta GitKraken. Ranljivost dovodi do generiranja predvidljivih RSA ključeva zbog greške koja značajno smanjuje kvalitetu entropije prilikom generiranja slučajnih sekvenci za ključeve. Problem je riješen u izdanjima keypair 1.0.4 i GitKraken 8.0.1.
Uzrok pojave ranjivosti bila je upotreba poziva "b.putByte(String.fromCharCode(next & 0xFF))" prilikom generiranja ključa, dok se u metodi putByte još jednom pokušavao pozvati metod fromCharCode. Dvostruki poziv fromCharCode ("String.fromCharCode(String.fromCharCode(next & 0xFF))") dovodio je do toga da je veći dio bafera s entropijom bio ispunjen nulama, tj. ključ je generiran na temelju "slučajnih" podataka, od kojih je 97% bilo sastavljeno od nula.
Izvor: opennet.ru
