एक्सएमएल-क्रिप्टो लायब्ररीमध्ये पडताळणी बायपास करणे, ज्यात दर आठवड्याला दशलक्ष डाउनलोड आहेत

xml-crypto JavaScript लायब्ररीमध्ये एक भेद्यता (CVE-402-2024) ओळखली गेली आहे, जी 32962 प्रकल्पांमध्ये अवलंबित्व म्हणून वापरली जाते आणि NPM कॅटलॉगमधून दर आठवड्यात सुमारे एक दशलक्ष वेळा डाउनलोड केली जाते, ज्याला कमाल तीव्रता पातळी नियुक्त केली गेली आहे (10 10 पैकी). लायब्ररी XML दस्तऐवजांचे एनक्रिप्शन आणि डिजिटल स्वाक्षरी पडताळणीसाठी कार्ये प्रदान करते. असुरक्षा आक्रमणकर्त्यास काल्पनिक दस्तऐवज सत्यापित करण्यास अनुमती देते, जे डीफॉल्ट कॉन्फिगरेशनमध्ये स्वाक्षरी सत्यापित करण्यासाठी निर्दिष्ट केलेल्या पेक्षा भिन्न की सह स्वाक्षरी केलेले असले तरीही लायब्ररीद्वारे यशस्वीरित्या सत्यापित केले जाईल. ही समस्या xml-crypto 4.0.0 च्या आवृत्तीपासून सुरू होऊन दिसली आणि जानेवारी 6.0.0 च्या रिलीझमध्ये शांतपणे निराकरण करण्यात आली.

डीफॉल्ट कॉन्फिगरेशनमध्ये लायब्ररी स्वाक्षरीच्या निर्मात्यास अधिकृत करत नाही, परंतु केवळ स्वाक्षरीची शुद्धता तपासते या वस्तुस्थितीमुळे असुरक्षा उद्भवते. विशेषत:, लायब्ररी KeyInfo XML घटकामध्ये स्वाक्षरी केलेल्या दस्तऐवजात ठेवलेल्या कोणत्याही प्रमाणपत्रावर विश्वास ठेवते, जरी सेटिंग्ज डिजिटल स्वाक्षरी सत्यापित करण्यासाठी विशिष्ट प्रमाणपत्राचा वापर निर्दिष्ट करते. अशा प्रकारे, सुधारित दस्तऐवजाची यशस्वीपणे पडताळणी करण्यासाठी, आक्रमणकर्त्याला केवळ त्याच्या खाजगी कीद्वारे व्युत्पन्न केलेल्या स्वाक्षरीसह मूळ डिजिटल स्वाक्षरी पुनर्स्थित करणे आणि या खाजगी कीशी संबंधित प्रमाणपत्र (सार्वजनिक की) KeyInfo घटकामध्ये ठेवणे आवश्यक आहे.

स्त्रोत: opennet.ru