CVE-2021-32685

Versões do tEnvoy anteriores à 7.0.3

O método verifyWithMessage de tEnvoyNaClSigningKey sempre retorna true para qualquer assinatura cujo hash SHA-512 coincida com o hash SHA-512 da mensagem, mesmo que a assinatura seja inválida. Este problema foi corrigido na versão 7.0.3.

Para versões anteriores à 7.0.3, atualize para a versão 7.0.3 imediatamente para resolver este problema.

Como solução alternativa temporária, no tenvoy.js, na definição do método verifyWithMessage dentro da classe tEnvoyNaClSigningKey, certifique-se de que a chamada da instrução de retorno para this.verify termine em .verified.

Verifique novamente todas as assinaturas que foram verificadas anteriormente com o método verifyWithMessage vulnerável.