{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"Vulnerabilit\u00e0 nella libreria OpenPGP.js che consente di eludere la verifica dei messaggi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella libreria OpenPGP.js \u00e8 stata rilevata una vulnerabilit\u00e0 (CVE-2025-47934) che consente a un malintenzionato di inviare un messaggio modificato, che verr\u00e0 percepito dal destinatario come verificato (le funzioni openpgp.verify e openpgp.decrypt restituiranno un indicatore di verifica del successo della firma digitale, nonostante il contenuto sia stato sostituito e differisca dai dati per cui \u00e8 stata creata la firma). La vulnerabilit\u00e0 \u00e8 stata corretta nelle versioni OpenPGP.js 5.11.3 e 6.1.1. Il problema si manifesta solo nelle branche OpenPGP.js 5.x e 6.x e non riguardano OpenPGP.js 4.x. <\/p>\n
La libreria OpenPGP.js fornisce un'implementazione autonoma del protocollo OpenPGP in JavaScript, che consente di eseguire operazioni di crittografia nel browser e gestire firme digitali basate su chiavi pubbliche. Il progetto \u00e8 sviluppato dagli sviluppatori di Proton Mail e, oltre a garantire la crittografia end-to-end dei messaggi in Proton Mail, \u00e8 utilizzato in progetti come FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere e Passbolt. <\/p>\n
La vulnerabilit\u00e0 riguarda le procedure di verifica incorporate nel testo della firma (openpgp.verify) e nei messaggi firmati e crittografati (openpgp.decrypt). Un attaccante pu\u00f2 utilizzare messaggi firmati esistenti per generare nuovi messaggi, nei quali, durante l'estrazione con la vulnerabile versione di OpenPGP.js, verr\u00e0 estratto un contenuto sostituito, differente dal contenuto del messaggio firmato originale. La vulnerabilit\u00e0 non influisce sulle firme distribuite separatamente dal testo (il problema si presenta solo quando la firma viene trasmessa insieme al testo come un unico blocco di dati). <\/p>\n
Per generare un messaggio fraudolento, un attaccante ha bisogno di un solo messaggio con una firma incorporata o separata, oltre alla conoscenza dei dati originali firmati in quel messaggio. L'attaccante pu\u00f2 modificare il messaggio in modo tale che, per la versione modificata, la firma continui a essere considerata corretta. Analogamente, \u00e8 possibile modificare i messaggi crittografati con firma, nei quali, durante l\u2019estrazione, ci saranno dati aggiunti dall\u2019attaccante. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"