В библиотеке xml-crypto пропатчили критические уязвимости

В библиотеке xml-crypto пропатчили критические уязвимости

В библиотеке xml-crypto пропатчили критические уязвимости

Разработчики xml-crypto выпустили обновления, устранив две схожие критические уязвимости. Проблемы позволяют обойти верификацию подписи XML-данных и повысить привилегии в системе либо выдать себя за другого юзера.

Библиотека цифровой подписи и шифрования XML для Node.js пользуется большой популярностью. В репозитории npm на долю xml-crypto приходится свыше 1 млн загрузок в неделю, а за последние семь дней ее скачали почти 1,4 млн раз.

Уязвимости CVE-2025-29774 и CVE-2025-29775 (по 9,3 балла CVSS) разнятся лишь изменениями, которые требуется внести в валидное XML-сообщение для обхода механизмов аутентификации и авторизации в системах, использующих xml-crypto.

В первом случае факт эксплойта выдает присутствие множественных элементов <SignedInfo> в цифровой подписи (должен быть один):

 

Признак компрометации через CVE-2025-29775 — присутствие комментариев в <DigestValue> (их не должно быть):

 

Патчи включены в состав сборки xml-crypto 6.0.1 и бэкпортом вышли в ветках 2.x и 3.x (выпуски 2.1.6 и 3.2.1 соответственно). Пользователям рекомендуется обновить криптобиблиотеку в кратчайшие сроки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

За громкой историей с похищением в Ачинске могут стоять мошенники

Похищение девушки-подростка из Ачинска могло быть инсценировкой, организованной под давлением мошенников, которые вымогали у нее деньги.

Такую версию озвучил телеграм-канал Shot. Следственные органы рассматривают этот вариант.

Согласно данным территориального подразделения Следственного комитета, 15-летняя жительница Ачинска покинула дом около 16 часов. Спустя два часа на телефон ее отца поступило требование о выкупе.

В ходе расследования было установлено, что видео с просьбой о выкупе записала сама девушка на кладбище, куда прибыла на такси.

Как сообщили в краевом главке МВД агентству «РИА Новости», ранее подросток не уходила из дома, конфликтов в семье, с соседями или одноклассниками у нее не было.

По факту исчезновения школьницы было возбуждено уголовное дело. В ее поисках участвовали около 150 сотрудников правоохранительных органов.

На следующий день девушку обнаружили в Назарово – соседнем с Ачинском городе – в съемной квартире.

Как рассказали в Следственном комитете корреспонденту ТАСС, подросток призналась, что инсценировала похищение по указанию телефонных мошенников.

«Школьница покинула дом, самостоятельно записала видеообращение на кладбище, а затем, выполняя указания неизвестных лиц, на такси отправилась в Назарово. Там она вышла возле гостиницы, затем направилась в интернет-кафе, где до позднего вечера переписывалась с мошенниками», — сообщили ТАСС в ГСУ СК РФ по Красноярскому краю и Хакасии.

Схема инсценировки похищения, используемая мошенниками с 2023 года, направлена на получение денег как от самой жертвы, которую вынуждают покинуть дом и не выходить на связь с близкими, так и от ее родственников, которым предъявляют требование о выкупе. Такие методы активно применяются злоумышленниками.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru