pbkdf2 静默地忽略 Uint8Array 输入，返回静态密钥

CVE-2025-6547 影响 Node.js 的历史版本，但仍在支持 (0.12 - 2.x) 中的 pbkdf2 库。 具体来说，pbkdf2 函数会静默忽略 Uint8Array 输入。 虽然该库声称支持从 0.12 开始的 Node.js 版本，但这种意外的行为可能会危及密码和其他敏感数据的安全性。 CVSS 已评为 9.5，表明存在关键风险。 这意味着攻击者可能会从弱密码或可预测的密码中推导出密钥，而不会被检测到，因为输入验证被省略。 缺乏适当的验证允许输入操作，可能导致密钥生成错误或信息泄露。 为了减轻这种风险，升级到已修复的版本至关重要。

Applications and services relying on Node.js versions 0.12 through 2.x are at significant risk. This includes legacy applications, systems with outdated dependencies, and environments where Node.js has not been regularly updated. Shared hosting environments using older Node.js versions are particularly vulnerable.

• nodejs / server:

  node -v | grep -q '0.12\.\|1\.\|2\.' && echo "Potentially vulnerable Node.js version detected!" || echo "Node.js version is safe."

• nodejs / server:

  npm list pbkdf2 | grep -q '>=3.1.3' || echo "pbkdf2 version is potentially vulnerable!"

• nodejs / server:

  find /usr/local/lib/node_modules /opt/node/lib/node_modules -name "pbkdf2" -type d -print0 | xargs -0 grep -l 'toBuffer' 

1. 2025-06-23Disclosure

   disclosure

1. 已保留2025-06-23
2. 发布日期2025-06-23
3. 修改日期2026-02-22
4. EPSS 更新日期2026-03-23

建议的解决方案是升级到 Node.js 版本 3.1.3 或更高版本。此版本通过正确处理 Uint8Array 输入来修复漏洞。 如果无法立即升级 Node.js，请考虑使用实现更强大的输入验证的替代库替换 pbkdf2 库。 此外，请检查使用 pbkdf2 的代码，以确保 Uint8Array 数据未意外地作为密码传递。 在应用程序代码中实现额外的验证，以确保密码作为字符串或缓冲区传递，可以提供额外的保护层。 监控与 pbkdf2 相关的应用程序日志中的错误或异常行为也有助于检测潜在的利用尝试。