GitHub je blokiral SSH ključe uporabnikov Git odjemalcev, ki za generacijo ključev uporabljajo JavaScript knjižnico keypair. Na primer, blokirani so bili ključi Git odjemalca GitKraken. Ranljivost vodi do ustvarjanja predvidljivih RSA ključev zaradi napake, ki znatno zmanjšuje kakovost entropije pri generiranju naključnih zaporedij za ključe. Problem je bil odpravljen v izdajah keypair 1.0.4 in GitKraken 8.0.1.
Vzrok za pojav ranljivosti je bilo uporaba pri oblikovanju ključa klica „b.putByte(String.fromCharCode(next & 0xFF))“, ker je bila v metodi putByte ponovno klicana metoda fromCharCode. Dvojni klic fromCharCode („String.fromCharCode( String.fromCharCode(next & 0xFF) )“) je povzročil, da je bil večji del pomnilnika z entropijo zapolnjen z ničlami, torej je bil ključ generiran na podlagi „naključnih“ podatkov, ki so v 97 % sestavljeni iz ničel.
Izvor: opennet.ru
