Det har upptäckts en sårbarhet (CVE-2024-32962) i JavaScript-biblioteket xml-crypto, som används som beroende av 402 projekt och laddas ner cirka en miljon gånger varje vecka från NPM-katalogen. Denna sårbarhet har tilldelats högsta risknivå (10 av 10). Biblioteket tillhandahåller funktioner för kryptering och verifiering av digitalt signerade XML-dokument. Sårbarheten gör det möjligt för en angripare att signera ett falskt dokument som i standardkonfigurationen framgångsrikt kan verifieras av biblioteket, trots att det är signerat med en nyckel som inte anges för signaturverifiering. Problemet uppstår från version xml-crypto 4.0.0 och har tyst åtgärdats i januariutgåvan 6.0.0.
Sårbarheten orsakas av att biblioteket i standardkonfigurationen inte auktoriserar skaparen av signaturen, utan bara kontrollerar giltigheten av själva signaturen. Specifikt litar biblioteket på vilket certifikat som helst som presenteras i det signerade dokumentet inom XML-elementet KeyInfo, även om inställningarna anger att ett specifikt certifikat ska användas för verifiering av digitala signaturer. Följaktligen räcker det för en angripare att ersätta den ursprungliga digitala signaturen med en signatur som skapats med sin privata nyckel och placera det relaterade certifikatet (den offentliga nyckeln) i KeyInfo-elementet för att framgångsrikt verifiera det modifierade dokumentet.
Källa: opennet.ru
