CVE-2023-46133
Açıklama
CryptoES, ES6 ve TypeScript ile uyumlu bir kriptografi algoritmaları kütüphanesidir. Versiyon 2.1.0 öncesinde, CryptoES PBKDF2, 1993 yılında orijinal olarak belirtilenden 1.000 kat daha zayıftır ve mevcut endüstri standardından en az 1.300.000 kat daha zayıftır. Bunun nedeni, hem varsayılan olarak en az 2005 yılından beri güvensiz kabul edilen bir kriptografik özet algoritması olan SHA1'i kullanması hem de 1993'te belirlendiğinde 'güç' veya 'zorluk' değeri 1.000 olarak tanımlanan tek bir yinelemeyi varsayılan olarak kullanmasıdır. PBKDF2, ön görüntü (preimage) ve çarpışma saldırılarına karşı bir önlem olarak yineleme sayısına dayanır. Parolaları korumak için kullanılırsa etkisi yüksektir. İmzalar oluşturmak için kullanılırsa etkisi yüksektir. Versiyon 2.1.0 bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, CryptoES'in en az 250.000 yineleme ile SHA256 kullanacak şekilde yapılandırılması önerilir.
Nasıl düzeltilir
- entronad cryptoes2.1.0 ya da sonraki bir sürüm
- crypto-es2.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| entronad cryptoes | v < 2.1.0 | 2.1.0 |
| crypto-esnpm | v < 2.1.0 | 2.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.