p PatchFirst

CVE-2025-54885

CVE-2025-54885 · Thinbus generates insufficient entropy: 252 bits vs minimum 256 bits

CVSS 6.9 · Средний · EPSS 0,4% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls thinbus-srp

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания thinbus-srp-npm и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Thinbus Javascript Secure Remote Password is a browser SRP6a implementation for zero-knowledge password authentication. In versions 2.0.0 and below, a protocol compliance bug causes the client to generate a fixed 252 bits of entropy instead of the intended bit length of the safe prime (defaulted to 2048 bits). The client public value is being generated from a private value that is 4 bits below the specification. This reduces the protocol's designed security margin it is now practically exploitable. The servers full sized 2048 bit random number is used to create the shared session key and password proof. This is fixed in version 2.0.1.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • thinbus-srp-npm

    Версии
    • < 2.0.1: Затронуто

    Нет опубликованного исправления

  • thinbus-srp npm

    Затронутые диапазоны версий
    • SEMVER: < 2.0.1

    Обновитесь до 2.0.1

Первоисточники

Проверьте свой сервер →