CVE-2020-14967
CriticalCVSS 9.8Exploitation Probability (EPSS)
High risk83th percentile - higher than 83% of all known CVEs
Summary
W pakiecie jsrsasign dla Node.js przed wersją 8.0.18 odkryto podatność w implementacji deszyfrowania RSA PKCS1 v1.5. Implementacja nie wykrywa modyfikacji szyfrogramu polegającej na dodaniu bajtów '\0' na początku, co pozwala na deszyfrowanie zmodyfikowanych danych bez zgłaszania błędu. Atakujący może wykorzystać tę lukę do wywołania problemów z pamięcią.
Risk Assessment
Ryzyko polega na możliwości przeprowadzenia ataku na integralność danych oraz potencjalnym uszkodzeniu pamięci, co może prowadzić do nieprzewidzianego zachowania aplikacji lub wycieku informacji.
Recommendation
Należy natychmiast zaktualizować pakiet jsrsasign do wersji 8.0.18 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Original NVD description (English source)
An issue was discovered in the jsrsasign package before 8.0.18 for Node.js. Its RSA PKCS1 v1.5 decryption implementation does not detect ciphertext modification by prepending '\0' bytes to ciphertexts (it decrypts modified ciphertexts without error). An attacker might prepend these bytes with the goal of triggering memory corruption issues.