CVE-2019-9155
CVE-2019-9155
CVSS 5.9 · Средний · EPSS 1,7% · Есть исправление
Затронуты ли вы?
- openpgp npmОбновитесь до 4.3.0
Как узнать установленную версию:
npm ls openpgpБесплатная проверка подсветит, требует ли внимания openpgp и остальные зависимости: проверьте lock-файл проекта или весь сервер командой ниже. Без регистрации. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.
curl -fsSL https://ru.patchfirst.dev/check.sh | shЗдесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
A cryptographic issue in OpenPGP.js <=4.2.0 allows an attacker who is able provide forged messages and gain feedback about whether decryption of these messages succeeded to conduct an invalid curve attack in order to gain the victim's ECDH private key.
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
Первоисточники
- https://sec-consult.com/en/blog/advisories/multiple-vulnerabilities-in-openpgp-js/
- https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/Studies/Mailvelope_Extensions/Mailvelope_Extensions_pdf.html#download=1
- https://github.com/openpgpjs/openpgpjs/releases/tag/v4.3.0
- https://github.com/openpgpjs/openpgpjs/pull/853
- https://github.com/openpgpjs/openpgpjs/pull/853/commits/7ba4f8c655e7fd7706e8d7334e44b40fdf56c43e
- http://packetstormsecurity.com/files/154191/OpenPGP.js-4.2.0-Signature-Bypass-Invalid-Curve-Attack.html
- https://nvd.nist.gov/vuln/detail/CVE-2019-9155