CVE-2025-54885
Açıklama
Thinbus Javascript Secure Remote Password, sıfır bilgi şifre kimlik doğrulaması için bir tarayıcı SRP6a uygulamasıdır. 2.0.0 ve altı sürümlerde, bir protokol uyumluluk hatası istemcinin güvenli asal sayının hedeflenen bit uzunluğu (varsayılan olarak 2048 bit) yerine sabit 252 bit entropi oluşturmasına neden olur. İstemci genel değeri, spesifikasyonun 4 bit altında olan özel bir değerden üretilmektedir. Bu durum, protokolün tasarlanan güvenlik marjını azaltmakta ve onu pratik olarak sömürülebilir hale getirmektedir. Paylaşılan oturum anahtarını ve şifre kanıtını oluşturmak için sunucunun tam boyutlu 2048 bitlik rastgele sayısı kullanılır. Bu sorun 2.0.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- thinbus-srp2.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thinbus-srpnpm | v < 2.0.1 | 2.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.