CVE-2023-46233
Açıklama
crypto-js, kripto standartlarını içeren bir JavaScript kütüphanesidir. Versiyon 4.2.0 öncesinde, crypto-js PBKDF2, 1993 yılında orijinal olarak belirtilenden 1.000 kat daha zayıftır ve mevcut endüstri standardından en az 1.300.000 kat daha zayıftır. Bunun nedeni, hem varsayılan olarak en az 2005 yılından beri güvensiz kabul edilen bir kriptografik özet algoritması olan SHA1'i kullanması hem de 1993 yılında belirlendiğinde 'güç' veya 'zorluk' değeri 1.000 olarak tanımlanan tek bir yinelemeyi varsayılan olarak kullanmasıdır. PBKDF2, ön görüntü (preimage) ve çarpışma saldırılarına karşı bir önlem olarak yineleme sayısına dayanır. Parolaları korumak için kullanılırsa etkisi yüksektir. İmzalar oluşturmak için kullanılırsa etkisi yüksektir. Versiyon 4.2.0 bu sorun için bir yama içermektedir. Geçici çözüm olarak, crypto-js'in en az 250.000 yineleme ile SHA256 kullanacak şekilde yapılandırılması önerilir.
Nasıl düzeltilir
- crypto-js_project crypto-js4.2.0 ya da sonraki bir sürüm
- crypto-js4.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| crypto-js_project crypto-js | v < 4.2.0 | 4.2.0 |
| crypto-jsnpm | v < 4.2.0 | 4.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.