CVE-2023-30590
Açıklama
crypto.createDiffieHellman() tarafından döndürülen generateKeys() API fonksiyonu yalnızca eksik (veya güncelliğini yitirmiş) anahtarları oluşturur; yani, yalnızca henüz bir anahtar ayarlanmamışsa özel bir anahtar oluşturur, ancak fonksiyon setPrivateKey() çağrısından sonra karşılık gelen genel anahtarı hesaplamak için de gereklidir. Bununla birlikte, dokümantasyon bu API çağrısı için şunları belirtmektedir: "Özel ve genel Diffie-Hellman anahtar değerlerini oluşturur". Dokümante edilen davranış gerçek davranıştan oldukça farklıdır ve bu fark, DiffieHellman'ın uygulama düzeyindeki güvenliğin temeli olarak kullanılabilecek olması nedeniyle bu API'leri kullanan uygulamalarda kolayca güvenlik sorunlarına yol açabilir; sonuç olarak etkileri geniştir.
Nasıl düzeltilir
- nodejs node.js16.20.1, 18.16.1, 20.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node.js | 16.0.0 ≤ v < 16.20.1, 18.0.0 ≤ v < 18.16.1, 20.0.0 ≤ v < 20.3.1 | 16.20.1, 18.16.1, 20.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.