PT-2025-23677
CVE-2025-24015
·
تاريخ النشر
2025-06-03
·
تاريخ التحديث
2026-04-14
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Deno من 1.46.0 إلى 2.1.6
الوصف
تؤثر المشكلة على AES-256-GCM و AES-128-GCM في Deno، حيث لا يتم التحقق من صحة علامة المصادقة. وهذا يعني أن التشفير المزور أو المفاتيح غير الصحيحة قد لا يتم اكتشافها، مما يخل بالضمانات المتوقعة من AES-GCM. وبدون التحقق من علامة المصادقة، يتدهور AES-GCM بشكل أساسي إلى وضع CTR، مما يزيل الحماية الخاصة بالسلامة. كما تتأثر البيانات المصادق عليها التي تم تعريفها باستخدام
set aad، حيث يتم دمجها في هاش GCM (ghash)، ولكن هذا أيضًا لا يتم التحقق من صحته، مما يجعل عمليات التحقق من AAD غير فعالة.التوصيات
بالنسبة لإصدارات Deno من 1.46.0 إلى 2.1.6، قم بالتحديث إلى الإصدار 2.1.7 أو أحدث لإصلاح المشكلة.
كحل مؤقت، ضع في اعتبارك تعطيل استخدام AES-256-GCM وAES-128-GCM حتى يتوفر تصحيح.
قم بتقييد الوصول إلى الدالتين المتأثرتين
createCipheriv وcreateDecipheriv لتقليل مخاطر الاستغلال.تجنب استخدام الدالة
set aad في نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾