CVE-2020-14968

Versões do jsrsasign anteriores à 8.0.17

O problema diz respeito à implementação do RSASSA-PSS (RSA-PSS) no pacote jsrsasign, que não detecta a manipulação de assinaturas por meio da inserção de bytes ‘0’ no início de uma assinatura, aceitando essas assinaturas modificadas como válidas. Esse comportamento pode ser explorado por um invasor para criar múltiplas assinaturas válidas onde deveria existir apenas uma, ou para provocar possíveis problemas de corrupção de memória ao antepor esses bytes.

Para versões anteriores à 8.0.17, atualize para a versão 8.0.17 ou posterior para resolver o problema. Como solução temporária, considere validar as assinaturas para detectar e impedir a anteposição de bytes ‘0’.