{"id":125333,"date":"2025-05-21T15:05:14","date_gmt":"2025-05-21T13:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij"},"modified":"2025-05-21T15:05:14","modified_gmt":"2025-05-21T13:05:14","slug":"uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-biblioteke-openpgp-js-pozvolyayushhaya-obojti-verifikacziyu-soobshhenij","title":{"rendered":"En s\u00e5rbarhet i biblioteket OpenPGP.js som m\u00f6jligg\u00f6r omdirigering av meddelandeverifiering.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I OpenPGP.js-biblioteket har det uppt\u00e4ckts en s\u00e5rbarhet (CVE-2025-47934) som g\u00f6r det m\u00f6jligt f\u00f6r en angripare att skicka ett modifierat meddelande som mottagaren kommer att uppfatta som verifierat (funktionerna openpgp.verify och openpgp.decrypt kommer att returnera en indikation p\u00e5 framg\u00e5ngsrik verifiering av den digitala signaturen, trots att inneh\u00e5llet har ersatts och skiljer sig fr\u00e5n de data f\u00f6r vilka signaturen skapades). S\u00e5rbarheten har \u00e5tg\u00e4rdats i utg\u00e5vorna av OpenPGP.js 5.11.3 och 6.1.1. Problemet upptr\u00e4der endast i grenarna OpenPGP.js 5.x och 6.x, och p\u00e5verkar inte OpenPGP.js 4.x. <\/p>\n
OpenPGP.js-biblioteket tillhandah\u00e5ller en sj\u00e4lvst\u00e4ndig implementation av OpenPGP-protokollet p\u00e5 JavaScript, vilket m\u00f6jligg\u00f6r krypterings\u00e5tg\u00e4rder och arbete med digitala signaturer baserade p\u00e5 offentliga nycklar i webbl\u00e4saren. Projektet utvecklas av Proton Mail-utvecklarna och anv\u00e4nds, f\u00f6rutom i organisering av end-to-end-kryptering av meddelanden i Proton Mail, i projekt som FlowCrypt, Mymail-Crypt, UDC, Encrypt.to, PGP Anywhere och Passbolt. <\/p>\n
S\u00e5rbarheten p\u00e5verkar verifieringsprocedurerna inb\u00e4ddade i texten av signaturen (openpgp.verify) samt signerade och krypterade meddelanden (openpgp.decrypt). En angripare kan anv\u00e4nda befintliga signerade meddelanden f\u00f6r att skapa nya meddelanden, d\u00e4r den s\u00e5rbara versionen av OpenPGP.js kommer att extrahera det insatta inneh\u00e5llet, som skiljer sig fr\u00e5n inneh\u00e5llet i det ursprungliga signerade meddelandet. S\u00e5rbarheten p\u00e5verkar inte signaturer som distribueras separat fr\u00e5n texten (problemet upptr\u00e4der endast vid \u00f6verf\u00f6ring av signaturen tillsammans med texten som en enhetlig datam\u00e4ngd). <\/p>\n
F\u00f6r att skapa ett falskt meddelande beh\u00f6ver en angripare bara ha ett meddelande med en inb\u00e4ddad eller separat signatur, samt kunskap om de ursprungliga data som signerades i detta meddelande. Den angripande kan \u00e4ndra meddelandet s\u00e5 att signaturen forts\u00e4tter att anses vara korrekt f\u00f6r den \u00e4ndrade versionen. P\u00e5 samma s\u00e4tt kan krypterade meddelanden med signaturer \u00e4ndras, varvid angrepparna kommer att f\u00e5 tillbaka det insatta inneh\u00e5llet vid uppl\u00e5sning. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"