{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"Vulnerabilit\u00e0 nella libreria OpenPGP.js che consente di bypassare la verifica dei messaggi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata identificata una vulnerabilit\u00e0 nella libreria OpenPGP.js (CVE-2025-47934) che consente a un attaccante di inviare un messaggio modificato, che sar\u00e0 percepito dal destinatario come verificato (le funzioni openpgp.verify e openpgp.decrypt restituiranno un'indicazione di verifica riuscita della firma digitale, nonostante il contenuto sia stato sostituito e differisca dai dati per i quali \u00e8 stata creata la firma). La vulnerabilit\u00e0 \u00e8 stata risolta nelle versioni OpenPGP.js 5.11.3 e 6.1.1. Il problema si presenta solo nei rami OpenPGP.js 5.x e 6.x, e non riguarda OpenPGP.js 4.x. <\/p>\n
La libreria OpenPGP.js fornisce un'implementazione autonoma del protocollo OpenPGP in JavaScript, consentendo di eseguire operazioni di crittografia e di gestire firme digitali basate su chiavi pubbliche direttamente nel browser. Il progetto \u00e8 sviluppato dagli ingegneri di Proton Mail e, oltre a garantire la crittografia end-to-end dei messaggi in Proton Mail, viene utilizzato in progetti come FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere e Passbolt. <\/p>\n
La vulnerabilit\u00e0 riguarda le procedure di verifica integrate nel testo della firma (openpgp.verify) e nei messaggi firmati e crittografati (openpgp.decrypt). Un attaccante pu\u00f2 utilizzare i messaggi firmati esistenti per generare nuovi messaggi, nei quali la versione vulnerabile di OpenPGP.js estrarr\u00e0 contenuti sostituiti, diversi da quelli del messaggio firmato originale. La vulnerabilit\u00e0 non riguarda le firme distribuite separatamente dal testo (il problema si verifica solo quando la firma viene trasmessa insieme al testo come un'unica unit\u00e0 di dati). <\/p>\n
Per generare un messaggio sostitutivo, un attaccante ha bisogno di un messaggio con firma integrata o separata, oltre alla conoscenza dei dati originali firmati in quel messaggio. L'attaccante pu\u00f2 modificare il messaggio in modo che la firma continu asse a essere considerata valida per la versione modificata. Analogamente, \u00e8 possibile modificare i messaggi crittografati con firma, dai quali verranno restituiti i dati aggiunti dall'attaccante durante il processo di estrazione. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"