{"id":115524,"date":"2024-05-04T01:52:09","date_gmt":"2024-05-03T23:52:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu"},"modified":"2024-05-04T01:52:09","modified_gmt":"2024-05-03T23:52:09","slug":"obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/obhod-verifikaczii-v-biblioteke-xml-crypto-naschityvayushhej-million-zagruzok-v-nedelyu","title":{"rendered":"\u00d6vervakningsomg\u00e5ng i xml-crypto-biblioteket, som har en miljon nedladdningar varje vecka","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Det har uppt\u00e4ckts en s\u00e5rbarhet (CVE-2024-32962) i JavaScript-biblioteket xml-crypto, som anv\u00e4nds som beroende av 402 projekt och laddas ner cirka en miljon g\u00e5nger varje vecka fr\u00e5n NPM-katalogen. Denna s\u00e5rbarhet har tilldelats h\u00f6gsta riskniv\u00e5 (10 av 10). Biblioteket tillhandah\u00e5ller funktioner f\u00f6r kryptering och verifiering av digitalt signerade XML-dokument. S\u00e5rbarheten g\u00f6r det m\u00f6jligt f\u00f6r en angripare att signera ett falskt dokument som i standardkonfigurationen framg\u00e5ngsrikt kan verifieras av biblioteket, trots att det \u00e4r signerat med en nyckel som inte anges f\u00f6r signaturverifiering. Problemet uppst\u00e5r fr\u00e5n version xml-crypto 4.0.0 och har tyst \u00e5tg\u00e4rdats i januariutg\u00e5van 6.0.0. <\/p>\n
S\u00e5rbarheten orsakas av att biblioteket i standardkonfigurationen inte auktoriserar skaparen av signaturen, utan bara kontrollerar giltigheten av sj\u00e4lva signaturen. Specifikt litar biblioteket p\u00e5 vilket certifikat som helst som presenteras i det signerade dokumentet inom XML-elementet KeyInfo, \u00e4ven om inst\u00e4llningarna anger att ett specifikt certifikat ska anv\u00e4ndas f\u00f6r verifiering av digitala signaturer. F\u00f6ljaktligen r\u00e4cker det f\u00f6r en angripare att ers\u00e4tta den ursprungliga digitala signaturen med en signatur som skapats med sin privata nyckel och placera det relaterade certifikatet (den offentliga nyckeln) i KeyInfo-elementet f\u00f6r att framg\u00e5ngsrikt verifiera det modifierade dokumentet. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"