{"id":115524,"date":"2024-05-04T01:52:09","date_gmt":"2024-05-03T23:52:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu"},"modified":"2024-05-04T01:52:09","modified_gmt":"2024-05-03T23:52:09","slug":"obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","title":{"rendered":"Contorno da verifica\u00e7\u00e3o na biblioteca xml-crypto, que conta com um milh\u00e3o de downloads por semana","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na biblioteca JavaScript xml-crypto, utilizada como depend\u00eancia em 402 projetos e baixada do diret\u00f3rio NPM cerca de um milh\u00e3o de vezes por semana, foi identificada uma vulnerabilidade (CVE-2024-32962), que recebeu o n\u00edvel m\u00e1ximo de gravidade (10 de 10). A biblioteca fornece fun\u00e7\u00f5es para criptografar e verificar documentos XML por meio de assinatura digital. A vulnerabilidade permite que um atacante assine um documento falso que, na configura\u00e7\u00e3o padr\u00e3o, ser\u00e1 verificado com sucesso pela biblioteca, mesmo que tenha sido assinado com uma chave diferente da especificada para verifica\u00e7\u00e3o de assinaturas. O problema come\u00e7a a se manifestar a partir da vers\u00e3o xml-crypto 4.0.0 e foi corrigido sem maiores divulga\u00e7\u00f5es na vers\u00e3o 6.0.0 lan\u00e7ada em janeiro. <\/p>\n
A vulnerabilidade \u00e9 causada pelo fato de que, na configura\u00e7\u00e3o padr\u00e3o, a biblioteca n\u00e3o autentica o criador da assinatura, mas apenas verifica a corre\u00e7\u00e3o da pr\u00f3pria assinatura. Em particular, a biblioteca confia em qualquer certificado colocado no documento assinado no elemento XML KeyInfo, mesmo que as configura\u00e7\u00f5es especifiquem o uso de um certificado espec\u00edfico para a verifica\u00e7\u00e3o de assinaturas digitais. Assim, para a verifica\u00e7\u00e3o bem-sucedida de um documento modificado, \u00e9 suficiente para o atacante substituir a assinatura digital original por uma gerada por sua pr\u00f3pria chave privada e colocar o certificado correspondente (chave p\u00fablica) no elemento KeyInfo. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"