CVE-2025-24015
Açıklama
Deno; bir JavaScript, TypeScript ve WebAssembly çalışma zamanıdır. 1.46.0 ile 2.1.6 arasındaki sürümlerde, Deno'daki AES-256-GCM ve AES-128-GCM'yi etkileyen ve kimlik doğrulama etiketinin doğrulanmadığı bir sorun bulunmaktadır. Bu durum, değiştirilmiş şifreli metinlerin veya yanlış anahtarların tespit edilemeyebileceği anlamına gelir ve bu da AES-GCM'den beklenen garantileri bozar. Deno'nun eski sürümleri ve Node.js, bu gibi durumlarda doğru şekilde hata veriyordu. Kimlik doğrulama etiketi doğrulaması olmadan AES-GCM, esasen CTR moduna düşerek bütünlük korumasını ortadan kaldırır. set_aad ile ayarlanan kimliği doğrulanmış veriler de bundan etkilenmektedir; çünkü bu veriler GCM özetine (ghash) dahil edilir ancak bu da doğrulanmaz, bu da AAD kontrollerini etkisiz hale getirir. Sürüm 2.1.7, bu sorunu gideren bir yama içermektedir.
Nasıl düzeltilir
- deno deno2.1.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| deno deno | 1.46.0 ≤ v < 2.1.7 | 2.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.