PT-2026-71715
CVE-2026-73567
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات sm-crypto الأقدم من 0.5.0
الوصف
يوفر هذا البرنامج تطبيقات بلغة JavaScript لخوارزميات التشفير الصينية SM2 وSM3 وSM4. في Node.js، يستخدم المسار الافتراضي
sm2.generateKeyPairHex() بدون معلمات مثيل SecureRandom الموجود في src/sm2/utils.js والمقدم بواسطة jsbn@1.1.0. يقوم هذا المثيل بتهيئة تيار ARC4 باستخدام Math.random() وnew Date().getTime() لأن window.crypto.getRandomValues غير متاح. يمكن للمهاجم القادر على مراقبة مخرجات Math.random() وتقدير وقت إنشاء المفتاح إعادة بناء البذرة، واستعادة المفاتيح الخاصة SM2 التي تم إنشاؤها، والتنبؤ بالقيم العددية المؤقتة الموقعة لتزوير التوقيعات.التوصيات
التحديث إلى الإصدار 0.5.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾