CVE-2025-29774

概要

xml-crypto は、Node.js 用の XML デジタル署名および暗号化ライブラリです。攻撃者は、6.0.1、3.2.1、2.1.6 より前のバージョンの脆弱性を悪用して、署名付き XML ドキュメントの検証に xml-crypto に依存しているシステムの認証または承認メカニズムをバイパスできる可能性があります。この脆弱性により、攻撃者は署名検証チェックを依然として通過する方法で、有効な署名付き XML メッセージを変更できます。たとえば、重要な ID またはアクセス制御属性を変更するために使用され、有効なアカウントを持つ攻撃者が権限を昇格させたり、別のユーザーになりすましたりする可能性があります。バージョン 6.0.0 以前のユーザーは、修正を受けるためにバージョン 6.0.1 にアップグレードする必要があります。まだ v2.x または v3.x を使用しているユーザーは、それぞれパッチ済みバージョン 2.1.6 または 3.2.1 にアップグレードする必要があります。

• Digital-Signature-Forgery-Attack研究

  CVE-2025-29774の脆弱性とSIGHASH_SINGLEバグが、偽のRawTXでマルチシグネチャウォレットの運用方法をいかに脅かすか

• Phantom-Signature-Attack研究

  CVE-2025-29774とBitcoinのECDSA実装におけるSIGHASH_SINGLEフローの暗号解読研究。nonce再利用と署名偽造による秘密鍵の回復を可能にし、失われたウォレットへのアクセスを実現します。