PT-2025-23540
CVE-2025-48995
·
تاريخ النشر
2025-06-02
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SignXML الأقدم من 4.0.4
الوصف
تتعلق المشكلة بهجوم توقيت محتمل عند التحقق من التوقيعات مع تعطيل التحقق من صحة شهادة X509 وتعيين السر المشترك HMAC. قد يتيح ذلك للمستخدمين إعادة بناء HMAC الصحيح لأي بيانات عند مقارنة التجزئة (hash) المقدمة من المستخدم بـ HMAC الصحيح، مما قد يؤدي إلى تسريب معلومات حول HMAC الصحيح. تُستخدم الدالة
signxml.XMLVerifier.verify مع تعيين require x509=False وhmac key.التوصيات
بالنسبة للإصدارات الأقدم من 4.0.4، قم بالتحديث إلى الإصدار 4.0.4 أو أحدث لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تعطيل الدالة
verify مع تعيين require x509=False وhmac key حتى يتوفر تصحيح. قم بتقييد الوصول إلى فئة XMLVerifier لتقليل مخاطر الاستغلال. تجنب استخدام المعلمة hmac key في الدالة verify المتأثرة حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾