🇰🇷 한글 설명
Node.js용 jsrsasign 패키지 8.0.17 미만 버전에서 RSASSA-PSS 구현 결함이 발견되었습니다. 공격자가 서명 앞에 NULL(\0) 바이트를 추가하여 서명을 조작하더라도 이를 유효한 것으로 잘못 인식할 수 있습니다. 이로 인해 서명 위조가 가능해지거나 메모리 손상 문제가 발생할 수 있습니다.
💡 쉬운 설명
디지털 서명의 앞부분에 특정 데이터를 몰래 끼워 넣어도 프로그램이 이를 정상적인 서명으로 착각하는 보안 약점입니다. 이를 통해 공격자가 가짜 서명을 만들어 시스템을 속이거나 시스템 오류를 일으킬 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in the jsrsasign package before 8.0.17 for Node.js. Its RSASSA-PSS (RSA-PSS) implementation does not detect signature manipulation/modification by prepending '\0' bytes to a signature (it accepts these modified signatures as valid). An attacker can abuse this behavior in an application by creating multiple valid signatures where only one signature should exist. Also, an attacker might prepend these bytes with the goal of triggering memory corruption issues.
📍 영향받는 시스템
jsrsasign package versions prior to 8.0.17 (Node.js environment)
⚔️ 공격 벡터
서명 데이터 앞에 NULL(\0) 바이트를 추가하여 유효성 검사를 우회하는 서명 조작 공격
🛡️ 대응 방법
jsrsasign 패키지를 8.0.17 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 jsrsasign의 버전이 8.0.17 미만인지 확인하십시오.