PT-2025-23537
CVE-2025-48994
·
تاريخ النشر
2025-06-02
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SignXML الأقدم من 4.0.4
الوصف
تتعلق المشكلة بهجوم محتمل من نوع «خلط الخوارزميات» عند التحقق من التوقيعات مع تعطيل التحقق من صحة شهادة X509 وتعيين السر المشترك لـ HMAC. قد يتيح ذلك للمهاجم تقديم توقيع تم توقيعه بشكل غير متوقع باستخدام مفتاح مختلف عن مفتاح HMAC المقدم، باستخدام خوارزمية توقيع مختلفة، ما لم يقم المستخدم بتحديد خوارزميات التوقيع المتوقعة بشكل صريح.
التوصيات
بالنسبة للإصدارات الأقدم من 4.0.4، يُنصح بتحديد خوارزميات التوقيع المتوقعة بشكل صريح باستخدام الإعداد
signxml.XMLVerifier.verify(expect config=...) لمنع هجمات الخلط بين الخوارزميات.كحل مؤقت، يُنصح بتقييد مجموعة خوارزميات التوقيع المقبولة لتقتصر على HMAC فقط، إن أمكن، إلى أن يتوفر تصحيح.
قم بالتحديث إلى الإصدار 4.0.4 أو أحدث من SignXML، حيث إنه يقصر مجموعة خوارزميات التوقيع المقبولة على HMAC فقط عند تحديد
hmac key. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾