OpenPGP.js ലൈബ്രറിയിലെ ദുർബലത, സന്ദേശ പരിശോധനയെ മറികടക്കാൻ അനുവദിക്കുന്നു.

OpenPGP.js ലൈബ്രറിയിൽ ഒരു ദുർബലത (CVE-2025-47934) തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇത് ഒരു ആക്രമണകാരിക്ക് പരിഷ്കരിച്ച സന്ദേശം അയയ്ക്കാൻ അനുവദിക്കുന്നു, അത് സ്വീകർത്താവിന് പരിശോധിച്ചുറപ്പിച്ചതായി മനസ്സിലാകും (ഉള്ളടക്കം മാറ്റിസ്ഥാപിച്ചിട്ടുണ്ടെങ്കിലും ഒപ്പ് സൃഷ്ടിച്ച ഡാറ്റയിൽ നിന്ന് വ്യത്യസ്തമാണെങ്കിലും, openpgp.verify, openpgp.decrypt ഫംഗ്ഷനുകൾ ഡിജിറ്റൽ സിഗ്നേച്ചറിന്റെ വിജയകരമായ സ്ഥിരീകരണത്തിന്റെ സൂചന നൽകും). OpenPGP.js 5.11.3, 6.1.1 പതിപ്പുകളിൽ ഈ ദുർബലത പരിഹരിച്ചു. ഈ പ്രശ്നം OpenPGP.js 5.x, 6.x ബ്രാഞ്ചുകളെ മാത്രമേ ബാധിക്കുകയുള്ളൂ, OpenPGP.js 4.x നെ ബാധിക്കില്ല.

OpenPGP.js ലൈബ്രറി, OpenPGP പ്രോട്ടോക്കോളിന്റെ ഒരു സ്വയം-സംയോജിത JavaScript നടപ്പിലാക്കൽ നൽകുന്നു, ഇത് ബ്രൗസറിൽ എൻക്രിപ്ഷൻ പ്രവർത്തനങ്ങൾ നടത്താനും പബ്ലിക്-കീ അടിസ്ഥാനമാക്കിയുള്ള ഡിജിറ്റൽ സിഗ്നേച്ചറുകളിൽ പ്രവർത്തിക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു. പ്രോട്ടോൺ മെയിൽ ഡെവലപ്പർമാരാണ് ഈ പ്രോജക്റ്റ് വികസിപ്പിച്ചെടുക്കുന്നത്, പ്രോട്ടോൺ മെയിലിൽ സന്ദേശങ്ങളുടെ എൻഡ്-ടു-എൻഡ് എൻക്രിപ്ഷൻ സംഘടിപ്പിക്കുന്നതിനു പുറമേ, ഫ്ലോക്രിപ്റ്റ്, മൈമെയിൽ-ക്രിപ്റ്റ്, യുഡിസി, എൻക്രിപ്റ്റ്.ടോ, പിജിപി എനിവെയർ, പാസ്ബോൾട്ട് തുടങ്ങിയ പ്രോജക്റ്റുകളിലും ഇത് ഉപയോഗിക്കുന്നു.

എംബഡഡ് ടെക്സ്റ്റ് സിഗ്നേച്ചറുകൾ (openpgp.verify), ഒപ്പിട്ടതും എൻക്രിപ്റ്റ് ചെയ്തതുമായ സന്ദേശങ്ങൾ (penpgp.decrypt) എന്നിവയ്ക്കുള്ള സ്ഥിരീകരണ നടപടിക്രമങ്ങളെ ഈ ദുർബലത ബാധിക്കുന്നു. ഒരു ആക്രമണകാരിക്ക് നിലവിലുള്ള ഒപ്പിട്ട സന്ദേശങ്ങൾ ഉപയോഗിച്ച് പുതിയ സന്ദേശങ്ങൾ രൂപപ്പെടുത്താൻ കഴിയും, OpenPGP.js-ന്റെ ഒരു ദുർബലമായ പതിപ്പ് അൺപാക്ക് ചെയ്യുമ്പോൾ, ഒപ്പിട്ട യഥാർത്ഥ സന്ദേശത്തിന്റെ ഉള്ളടക്കത്തിൽ നിന്ന് വ്യത്യസ്തമായ പകരമുള്ള ഉള്ളടക്കം എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യും. ടെക്സ്റ്റിൽ നിന്ന് വേറിട്ട് വിതരണം ചെയ്യുന്ന ഒപ്പുകളെ ഈ ദുർബലത ബാധിക്കില്ല (ഒപ്പ് ടെക്സ്റ്റിനൊപ്പം ഒരൊറ്റ ഡാറ്റ ബ്ലോക്കായി ട്രാൻസ്മിറ്റ് ചെയ്യുമ്പോൾ മാത്രമേ പ്രശ്നം ദൃശ്യമാകൂ).

ഒരു വ്യാജ സന്ദേശം സൃഷ്ടിക്കുന്നതിന്, ഒരു ആക്രമണകാരിക്ക് എംബഡഡ് അല്ലെങ്കിൽ പ്രത്യേക ഒപ്പുള്ള ഒരു സന്ദേശം മാത്രമേ ആവശ്യമുള്ളൂ, കൂടാതെ ഈ സന്ദേശത്തിൽ ഒപ്പിട്ടിരിക്കുന്ന യഥാർത്ഥ ഡാറ്റയെക്കുറിച്ചുള്ള അറിവും ഉണ്ടായിരിക്കണം. ഒരു ആക്രമണകാരിക്ക് സന്ദേശം പരിഷ്കരിക്കാൻ കഴിയും, അതുവഴി ഒപ്പിന്റെ പരിഷ്കരിച്ച പതിപ്പ് ഇപ്പോഴും ശരിയാണെന്ന് പരിഗണിക്കപ്പെടും. അതുപോലെ, ഒപ്പുള്ള എൻക്രിപ്റ്റ് ചെയ്ത സന്ദേശങ്ങളിൽ മാറ്റം വരുത്താൻ കഴിയും, അങ്ങനെ അൺപാക്ക് ചെയ്യുമ്പോൾ, ആക്രമണകാരി ചേർത്ത ഡാറ്റ തിരികെ ലഭിക്കും.

അവലംബം: opennet.ru