BDU:2025-07453

Опубликовано: 23 июн. 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки pbkdf2 программной платформы Node.js связана с недостатками механизма проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подделать цифровую подпись путем отправки специально сформированных пакетов

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

pbkdf2

Версия ПО

от 3.0.10 до 3.1.2 включительно (pbkdf2)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Критический уровень опасности (оценка CVSS 4.0 составляет 9,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).

Использование рекомендаций:

https://github.com/browserify/pbkdf2/commit/9699045c37a07f8319cfb8d44e2ff4252d7a7078

https://github.com/browserify/pbkdf2/commit/e3102a8cd4830a3ac85cd0dd011cc002fdde33bb

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 27%

0.00094

Низкий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-6545

ubuntu

26 дней назад

Improper Input Validation vulnerability in pbkdf2 allows Signature Spoofing by Improper Validation. This vulnerability is associated with program files lib/to-buffer.Js. This issue affects pbkdf2: from 3.0.10 through 3.1.2.

CVE-2025-6545

CVSS3: 8.1

redhat

26 дней назад

CVE-2025-6545

nvd

26 дней назад

CVE-2025-6545

debian

26 дней назад

Improper Input Validation vulnerability in pbkdf2 allows Signature Spo ...

GHSA-h7cp-r72f-jxh6

github

26 дней назад

pbkdf2 returns predictable uninitialized/zero-filled memory for non-normalized or unimplemented algos

EPSS

Процентиль: 27%

0.00094

Низкий

10 Critical

CVSS3

10 Critical

CVSS2