PT-2020-21070 · Unknown · Simple-Crypto-Js

Publicado 2020-09-03 · Atualizado 2020-09-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do simple-crypto-js anteriores à 2.3.0

Descrição

O problema diz respeito ao uso de AES-CBC com preenchimento PKCS#7, que é suscetível a ataques de oráculo de preenchimento. Isso poderia permitir que invasores quebrassem a criptografia e acessassem dados confidenciais.

Recomendações

Para versões do simple-crypto-js anteriores à 2.3.0, atualize para a versão 2.3.0 ou posterior.

Correção

Use of a Broken Cryptographic Algorithm

Enumeração de Fraquezas

CWE-327

Identificadores relacionados

GHSA-5V7R-JG9R-VQ44

Produtos afetados

Simple-Crypto-Js

Referências · 7

• https://github.com/danang-id/simple-crypto-js/issues/12 · Nota
• https://github.com/danang-id/simple-crypto-js/commit/416584369de1dad9b21ac3fe85df0b71cf5718b2 · Nota
• https://github.com/danang-id/simple-crypto-js/pull/17 · Nota
• https://github.com/danang-id/simple-crypto-js · Nota
• https://robertheaton.com/2013/07/29/padding-oracle-attack · Nota
• https://snyk.io/vuln/SNYK-JS-SIMPLECRYPTOJS-544027 · Nota
• https://osv.dev/vulnerability/GHSA-5v7r-jg9r-vq44 · Aviso do Fabricante