jsrsasign: Comparaison Incomplète Permet la Récupération de la Clé Privée DSA via la Génération Biaisée de Nonces

L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter la comparaison incorrecte pour influencer la génération des nonces DSA (Digital Signature Algorithm) lors de la signature. En manipulant ces nonces, l'attaquant peut, en théorie, déduire la clé privée utilisée par jsrsasign. La compromission de la clé privée permettrait alors de signer des transactions frauduleuses, d'usurper l'identité de l'application et potentiellement de compromettre l'ensemble du système. Bien que l'exploitation directe puisse être complexe, la possibilité de récupération de la clé privée représente un risque majeur, similaire à des vulnérabilités affectant des algorithmes cryptographiques fondamentaux.

Applications and services built on Node.js that utilize the jsrsasign library for digital signature generation, particularly those relying on DSA signatures, are at risk. This includes web applications, command-line tools, and backend services that process sensitive data requiring cryptographic protection. Projects using older versions of jsrsasign in production environments are particularly vulnerable.

• nodejs / server:

  npm list jsrsasign
  # Check version.  If < 11.1.1, upgrade immediately.

• generic web:

  curl -I <your_application_url>
  # Check for any unusual headers or responses related to signature generation.

1. 2026-03-23Disclosure

   disclosure

1. Réservé2026-03-22
2. Publiée2026-03-23
3. Modifiée2026-03-30
4. EPSS mis à jour2026-03-30

La mitigation principale consiste à mettre à jour jsrsasign vers la version 11.1.1 ou supérieure, qui corrige la vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de désactiver temporairement les fonctionnalités utilisant getRandomBigIntegerZeroToMax et getRandomBigIntegerMinToMax, si cela est acceptable pour votre application. Il n'existe pas de contournement WAF ou proxy direct pour cette vulnérabilité, car elle réside dans la logique interne de la bibliothèque. Surveillez attentivement les journaux d'audit pour détecter des activités suspectes liées à la génération de signatures numériques.