Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-03158

Опубликовано: 26 окт. 2023
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость функции dsaVerify() пакета для дублирования криптографического функциональности Browserify-sign связана с неправильной проверкой криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создавать подписи, которые могут быть успешно проверены любым открытым ключом, что приводит к атаке подделки подписи

Вендор

ООО «Ред Софт»
АО "НППКТ"
Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС
ОСОН ОСнова Оnyx
Browserify-sign

Версия ПО

7.3 (РЕД ОС)
до 2.9 (ОСОН ОСнова Оnyx)
до 4.2.2 (Browserify-sign)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Для Browserify-sign:
https://github.com/browserify/browserify-sign/commit/85994cd6348b50f2fd1b73c54e20881416f44a30
https://github.com/browserify/browserify-sign/security/advisories/GHSA-x9w5-v3q2-3rhw
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения node-browserify-sign до версии 4.0.4-2+deb10u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 57%
0.00353
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 6.5
ubuntu
больше 1 года назад

browserify-sign is a package to duplicate the functionality of node's crypto public key functions, much of this is based on Fedor Indutny's work on indutny/tls.js. An upper bound check issue in `dsaVerify` function allows an attacker to construct signatures that can be successfully verified by any public key, thus leading to a signature forgery attack. All places in this project that involve DSA verification of user-input signatures will be affected by this vulnerability. This issue has been patched in version 4.2.2.

CVSS3: 7.5
redhat
больше 1 года назад

browserify-sign is a package to duplicate the functionality of node's crypto public key functions, much of this is based on Fedor Indutny's work on indutny/tls.js. An upper bound check issue in `dsaVerify` function allows an attacker to construct signatures that can be successfully verified by any public key, thus leading to a signature forgery attack. All places in this project that involve DSA verification of user-input signatures will be affected by this vulnerability. This issue has been patched in version 4.2.2.

CVSS3: 6.5
nvd
больше 1 года назад

browserify-sign is a package to duplicate the functionality of node's crypto public key functions, much of this is based on Fedor Indutny's work on indutny/tls.js. An upper bound check issue in `dsaVerify` function allows an attacker to construct signatures that can be successfully verified by any public key, thus leading to a signature forgery attack. All places in this project that involve DSA verification of user-input signatures will be affected by this vulnerability. This issue has been patched in version 4.2.2.

CVSS3: 7.5
msrc
больше 1 года назад

Описание отсутствует

CVSS3: 6.5
debian
больше 1 года назад

browserify-sign is a package to duplicate the functionality of node's ...

EPSS

Процентиль: 57%
0.00353
Низкий

7.5 High

CVSS3

7.8 High

CVSS2