A JavaScript könyvtárban, az xml-crypto-ban, amely 402 projekt függőségként használ és heti körülbelül egymillió alkalommal töltik le az NPM katalogusból, egy sebezhetőséget (CVE-2024-32962) azonosítottak, amely maximális kockázati szintet kapott (10-es skálán 10). A könyvtár olyan funkciókat kínál, amelyek az XML dokumentumok digitális aláírásával való titkosításhoz és ellenőrzéshez kapcsolódnak. A sebezhetőség lehetővé teszi a támadó számára, hogy egy hamis dokumentumot írjon alá, amely a gyári beállítások mellett sikeresen ellenőrizhető a könyvtár által, annak ellenére, hogy nem a megadott kulccsal aláírták. A probléma az xml-crypto 4.0.0 verziójától kezdődően jelentkezik, és januárban, a 6.0.0 verzióban csendben javították.
A sebezhetőség abból adódik, hogy a könyvtár gyári beállításai szerint nem hitelesíti az aláírás készítőjét, csak az aláírás helyességét ellenőrzi. Különösen a könyvtár megbízik bármely tanúsítványban, amelyet a aláírt dokumentumban a KeyInfo XML elem tartalmaz, még akkor is, ha a beállítások konkrét tanúsítvány használatát jelzik a digitális aláírások ellenőrzésére. Így a támadónak elegendő a módosított dokumentum sikeres ellenőrzéséhez az eredeti digitális aláírást kicserélni a saját titkos kulcsával készített aláírásra, és elhelyezni a kapcsolódó nyilvános kulcsot a KeyInfo elemben.
Forrás: opennet.ru
