pbkdf2 ignora silenciosamente a entrada Uint8Array, retornando chaves estáticas

A vulnerabilidade CVE-2025-6547 afeta versões antigas, mas ainda suportadas, do Node.js (0.12 - 2.x) na biblioteca pbkdf2. Especificamente, a função pbkdf2 ignora silenciosamente entradas do tipo Uint8Array. Embora a biblioteca declare suporte para Node.js a partir da versão 0.12, esse comportamento inesperado pode comprometer a segurança de senhas e outros dados sensíveis. O CVSS foi classificado com uma pontuação de 9.5, indicando um risco crítico. Isso significa que um atacante pode potencialmente derivar chaves de senhas fracas ou previsíveis sem ser detectado, pois a validação de entrada é omitida. A falta de validação adequada permite a manipulação da entrada, o que pode levar à geração de chaves incorretas ou à exposição de informações confidenciais. É crucial atualizar para uma versão corrigida para mitigar este risco.

Applications and services relying on Node.js versions 0.12 through 2.x are at significant risk. This includes legacy applications, systems with outdated dependencies, and environments where Node.js has not been regularly updated. Shared hosting environments using older Node.js versions are particularly vulnerable.

• nodejs / server:

  node -v | grep -q '0.12\.\|1\.\|2\.' && echo "Potentially vulnerable Node.js version detected!" || echo "Node.js version is safe."

• nodejs / server:

  npm list pbkdf2 | grep -q '>=3.1.3' || echo "pbkdf2 version is potentially vulnerable!"

• nodejs / server:

  find /usr/local/lib/node_modules /opt/node/lib/node_modules -name "pbkdf2" -type d -print0 | xargs -0 grep -l 'toBuffer' 

1. 2025-06-23Disclosure

   disclosure

1. Reservado2025-06-23
2. Publicada2025-06-23
3. Modificada2026-02-22
4. EPSS atualizado2026-03-23

A solução recomendada é atualizar para o Node.js versão 3.1.3 ou superior. Esta versão corrige a vulnerabilidade ao lidar corretamente com as entradas Uint8Array. Se a atualização do Node.js não for imediatamente possível, considere substituir a biblioteca pbkdf2 por uma alternativa que implemente uma validação de entrada mais robusta. Além disso, revise o código que utiliza pbkdf2 para garantir que dados Uint8Array não estejam sendo passados inadvertidamente como senhas. Implementar uma validação adicional no código da aplicação para garantir que as senhas sejam passadas como strings ou buffers pode fornecer uma camada adicional de proteção. Monitorar os registros da aplicação em busca de erros ou comportamentos incomuns relacionados ao pbkdf2 também pode ajudar a detectar possíveis tentativas de exploração.