CVE-2024-32962

Résumé

xml-crypto est une bibliothèque de signature numérique et de chiffrement XML pour Node.js. Dans les versions concernées, la configuration par défaut ne vérifie pas l'autorisation du signataire ; elle ne vérifie que la validité de la signature conformément à la section 3.2.2 de la spécification w3 xmldsig-core-20080610. Par conséquent, sans étapes de validation supplémentaires, la configuration par défaut permet à un acteur malveillant de re-signer un document XML, de placer le certificat dans un élément `<KeyInfo />` et de réussir les contrôles de validation par défaut de `xml-crypto`. En conséquence, `xml-crypto` fait confiance par défaut à tout certificat fourni via l'élément `<KeyInfo />` d'un document XML signé numériquement. `xml-crypto` préfère utiliser tout certificat fourni via l'élément `<KeyInfo />` d'un document XML signé numériquement, même si la bibliothèque a été configurée pour utiliser un certificat spécifique (`publicCert`) aux fins de vérification de la signature. Un attaquant peut usurper la vérification de la signature en modifiant le document XML et en remplaçant la signature existante par une signature générée avec une clé privée malveillante (créée par l'attaquant), puis en attachant le certificat de cette clé privée à l'élément `<KeyInfo />`. Cette vulnérabilité est une combinaison de changements introduits dans `4.0.0` via la pull request 301 / le commit `c2b83f98` et a été corrigée dans la version 6.0.0 avec la pull request 445 / le commit `21201723d`. Il est conseillé aux utilisateurs de mettre à jour. Les utilisateurs qui ne peuvent pas mettre à jour peuvent soit vérifier le certificat extrait via `getCertFromKeyInfo` par rapport aux certificats de confiance avant d'accepter les résultats de la validation, soit définir `getCertFromKeyInfo` de `xml-crypto` sur `() => undefined`, forçant ainsi `xml-crypto` à utiliser un `publicCert` ou une `privateKey` explicitement configurée pour la vérification de la signature.

• Poc-CVE-2024-32962-xml-crypto