OpenPGP.js номын санд эмзэг байдал (CVE-2025-47934) тогтоогдсон бөгөөд халдагчид өөрчилсөн мессежийг илгээх боломжийг олгосон бөгөөд үүнийг хүлээн авагч баталгаажуулсан гэж хүлээн зөвшөөрөх болно (openpgp.verify болон openpgp.decrypt функцууд нь тоон гарын үсгийг амжилттай баталгаажуулсан шинж тэмдгийг буцаана. гарын үсэг үүсгэсэн). Энэ эмзэг байдлыг OpenPGP.js 5.11.3 болон 6.1.1 хувилбаруудад зассан. Асуудал нь зөвхөн OpenPGP.js 5.x болон 6.x салбаруудад хамаарах ба OpenPGP.js 4.x-д нөлөөлөхгүй.
OpenPGP.js номын сан нь OpenPGP протоколын бие даасан JavaScript хэрэгжилтийг хангадаг бөгөөд энэ нь танд шифрлэлтийн үйлдлүүдийг хийх, вэб хөтөч дээр нийтийн түлхүүрт суурилсан тоон гарын үсэгтэй ажиллах боломжийг олгоно. Төслийг Proton Mail-ийн хөгжүүлэгчид боловсруулж байгаа бөгөөд Proton Mail-д мессежийн төгсгөл хүртэлх шифрлэлтийг зохион байгуулахаас гадна FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere, Passbolt зэрэг төслүүдэд ашигладаг.
Энэ эмзэг байдал нь суулгагдсан текст гарын үсэг (openpgp.verify) болон гарын үсэг зурсан болон шифрлэгдсэн мессежийг (penpgp.decrypt) шалгах журамд нөлөөлдөг. Халдагчид одоо байгаа гарын үсэгтэй мессежүүдийг ашиглан OpenPGP.js-ийн эмзэг хувилбараар задлах үед гарын үсэг зурсан анхны мессежийн агуулгаас өөр орлуулсан контентыг задлах шинэ мессеж үүсгэх боломжтой. Сул тал нь текстээс тусад нь тараасан гарын үсэгт нөлөөлөхгүй (гарын үсэг нь текстийн хамт нэг өгөгдлийн блок хэлбэрээр дамжих үед л асуудал гардаг).
Хуурамч мессеж үүсгэхийн тулд халдагч зөвхөн суулгагдсан эсвэл тусдаа гарын үсэг бүхий нэг мессеж, мөн энэ зурваст гарын үсэг зурсан анхны мэдээллийн талаархи мэдлэгтэй байх шаардлагатай. Халдагчид мессежийг өөрчлөх боломжтой бөгөөд ингэснээр гарын үсэг нь өөрчлөгдсөн хувилбарт зөв гэж тооцогддог. Үүний нэгэн адил гарын үсэг бүхий шифрлэгдсэн мессежийг задлах үед халдагчийн нэмсэн өгөгдлийг буцааж өгөхийн тулд өөрчилж болно.
Эх сурвалж: opennet.ru
