CVE-2025-69287

BSV Blockchain SDK, BSV Blockchain üzerinde ölçeklenebilir uygulamalar geliştirmek için kullanılan birleşik bir TypeScript SDK'sıdır. Versiyon 2.0.0 öncesinde, TypeScript SDK'nın BRC-104 kimlik doğrulama uygulamasındaki kriptografik bir zafiyet, imza verilerinin hatalı hazırlanmasına neden olmuş; bu durum SDK uygulamaları arasında imza uyumsuzluğuna ve potansiyel kimlik doğrulama atlatma senaryolarına yol açmıştır. Zafiyet, TypeScript SDK'nın `Peer.ts` dosyasında, özellikle BRC-104 karşılıklı kimlik doğrulaması için imza verilerinin hazırlandığı `processInitialRequest` ve `processInitialResponse` metodlarında yer almaktaydı. TypeScript SDK, base64 ile kodlanmış nonce dizelerini (`message.initialNonce + sessionNonce`) birleştirip ardından birleştirilmiş base64 dizisini çözerek (`base64ToBytes(concatenatedString)`) imza verilerini hatalı şekilde hazırlamaktaydı. Bu işlem, doğru olan 64 bayt yerine yaklaşık 32-34 baytlık imza verisi üretmekteydi. BRC-104 kimlik doğrulaması, eşler arasında karşılıklı güven tesis etmek için kriptografik imzalara dayanır. İmza verileri hazırlama işlemi hatalı olduğunda, TypeScript SDK tarafından oluşturulan imzalar Go/Python SDK'larının beklediği imzalarla eşleşmemekte, farklı uygulamalar arası kimlik doğrulama başarısız olmakta ve bir saldırgan bunu kimlik doğrulama kontrollerini atlatmak için kullanabilmektedir. Versiyon 2.0.0 ile gelen düzeltme, tüm SDK'ların artık özdeş kriptografik imzalar üretmesini sağlayarak uygulamalar arası uygun karşılıklı kimlik doğrulamasını yeniden tesis etmiştir.