{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"Vulnerabilidade na biblioteca OpenPGP.js, que permite contornar a verifica\u00e7\u00e3o de mensagens.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Uma vulnerabilidade foi identificada na biblioteca OpenPGP.js (CVE-2025-47934), permitindo que um invasor envie uma mensagem modificada que ser\u00e1 percebida pelo destinat\u00e1rio como verificada (as fun\u00e7\u00f5es openpgp.verify e openpgp.decrypt retornar\u00e3o um sinal de verifica\u00e7\u00e3o bem-sucedida da assinatura digital, apesar do conte\u00fado ter sido substitu\u00eddo e diferir dos dados para os quais a assinatura foi criada). A vulnerabilidade foi corrigida nas vers\u00f5es OpenPGP.js 5.11.3 e 6.1.1. O problema ocorre apenas nas ramifica\u00e7\u00f5es OpenPGP.js 5.x e 6.x, n\u00e3o afetando a vers\u00e3o 4.x. <\/p>\n
A biblioteca OpenPGP.js oferece uma implementa\u00e7\u00e3o autossuficiente do protocolo OpenPGP em JavaScript, permitindo que opera\u00e7\u00f5es de criptografia sejam realizadas no navegador e que se trabalhe com assinaturas digitais baseadas em chaves p\u00fablicas. O projeto \u00e9 desenvolvido pelos criadores do Proton Mail e, al\u00e9m de facilitar a criptografia de ponta a ponta das mensagens no Proton Mail, \u00e9 utilizado em projetos como FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere e Passbolt. <\/p>\n
A vulnerabilidade afeta os procedimentos de verifica\u00e7\u00e3o incorporados no texto da assinatura (openpgp.verify) e nas mensagens assinadas e criptografadas (openpgp.decrypt). Um atacante pode usar mensagens assinadas existentes para formar novas mensagens, cuja extra\u00e7\u00e3o com a vers\u00e3o vulner\u00e1vel do OpenPGP.js resultar\u00e1 em conte\u00fados substitu\u00eddos, diferentes do conte\u00fado da mensagem original assinada. A vulnerabilidade n\u00e3o afeta assinaturas que s\u00e3o distribu\u00eddas separadamente do texto (o problema ocorre apenas quando a assinatura \u00e9 transmitida junto com o texto como um \u00fanico bloco de dados). <\/p>\n
Para criar uma mensagem forjada, o atacante s\u00f3 precisa de uma mensagem com uma assinatura incorporada ou separada, al\u00e9m do conhecimento dos dados originais que foram assinados nessa mensagem. O atacante pode modificar a mensagem de tal forma que a assinatura continue a ser considerada v\u00e1lida para a vers\u00e3o modificada. De maneira semelhante, mensagens criptografadas com assinatura podem ser alteradas, retornando dados adicionados pelo atacante durante a extra\u00e7\u00e3o. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"