CVE-2015-8013

Wysokie

Opublikowano: 25/07/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

s2k.js w OpenPGP.js pozwala na deszyfrowanie dowolnych wiadomości niezależnie od hasła dla spreparowanych kluczy PGP, co umożliwia zdalnym atakującym ominięcie mechanizmu uwierzytelniania, jeśli deszyfrowanie wiadomości jest używane jako mechanizm uwierzytelniania.

Ocena ryzyka

Organizacje mogą być narażone na ataki, które pozwalają na nieautoryzowany dostęp do systemów, jeśli deszyfrowanie wiadomości jest wykorzystywane jako metoda uwierzytelniania.

Rekomendacja

Zaleca się aktualizację OpenPGP.js do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.

Inne podatności w OpenPGP.js

CVE-2023-41037Średnie
OpenPGP.js to implementacja protokołu OpenPGP w JavaScript. W wersjach do 5.9.0, podczas weryfikacji podpisanych wiadomości tekstowych, ignorowano dane przed nagłówkiem 'Hash: ...', co umożliwiało atakującym dodawanie dowolnego tekstu, który mógł być postrzegany jako podpisany.

Oryginalny opis (angielski, źródło NVD)

s2k.js in OpenPGP.js will decrypt arbitrary messages regardless of passphrase for crafted PGP keys which allows remote attackers to bypass authentication if message decryption is used as an authentication mechanism via a crafted symmetrically encrypted PGP message.