CVE-2023-46233
Təsvir
crypto-js kriptoqrafiya standartlarının JavaScript kitabxanasıdır. Versiya 4.2.0-dan əvvəl crypto-js PBKDF2, 1993-cü ildə orijinal şəkildə təyin olunan dəyərdən 1,000 dəfə və hazırkı sənaye standartından ən azı 1,300,000 dəfə daha zəifdir. Bunun səbəbi həm ən azı 2005-ci ildən bəri təhlükəsiz hesab edilməyən kriptoqrafik heş alqoritmi olan SHA1-dən istifadə etməsi, həm də tək bir iterasiyanı standart olaraq təyin etməsidir (halbuki 1993-cü ildə təyin edildikdə 'güc' və ya 'çətinlik' dəyəri 1,000 olaraq göstərilmişdi). PBKDF2, preimage və toqquşma hücumlarına qarşı əks-tədbir kimi iterasiya sayına əsaslanır. Parolların qorunması üçün istifadə edildikdə təsir yüksəkdir. İmzaların yaradılması üçün istifadə edildikdə təsir yüksəkdir. Versiya 4.2.0 bu problem üçün yamaya malikdir. Müvəqqəti həll yolu kimi, crypto-js-i ən azı 250,000 iterasiya ilə SHA256 istifadə etmək üçün konfiqurasiya edin.
Necə düzəltmək olar
- crypto-js_project crypto-js4.2.0 və ya daha yeni versiya
- crypto-js4.2.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| crypto-js_project crypto-js | v < 4.2.0 | 4.2.0 |
| crypto-jsnpm | v < 4.2.0 | 4.2.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.