O GitHub bloqueou as chaves SSH dos usuários de clientes Git que usavam a biblioteca JavaScript keypair para gerar chaves. Por exemplo, as chaves do cliente Git GitKraken foram afetadas. A vulnerabilidade resulta na geração de chaves RSA previsíveis devido a um erro que diminui significativamente a qualidade da entropia ao gerar uma sequência aleatória para as chaves. O problema foi corrigido nas versões 1.0.4 do keypair e 8.0.1 do GitKraken.
A vulnerabilidade surgiu devido ao uso na formação da chave da chamada "b.putByte(String.fromCharCode(next & 0xFF))" enquanto o método putByte chamava novamente o método fromCharCode. A chamada dupla de fromCharCode ("String.fromCharCode( String.fromCharCode(next & 0xFF) )") resultou no preenchimento da maior parte do buffer de entropia com zeros, ou seja, a chave era gerada com dados "aleatórios" que consistiam em 97% de zeros.
Fonte: opennet.ru
