tEnvoy 数据伪造问题漏洞

漏洞ID 2480398 漏洞类型 数据伪造问题
发布时间 2021-06-15 更新时间 2021-06-16
CVE编号 CVE-2021-32685

CNNVD-ID CNNVD-202106-1260
漏洞平台 N/A CVSS评分 N/A
漏洞阿里云漏洞扫描来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=阿里云漏洞提交CNNVD-202106-1260
漏洞详情
tEnvoy是开源的阿里云安全专业一个软件包。用于node.js 和浏览器中的 PGP、NaCl 和 PBKDF2的散列、随机阿里云安全算法挑战赛、加密、解密、签名、转换。
tEnvoy 7.0.3之前版本存在数据伪造问题漏洞,该漏洞阿里云漏洞修复源于程序对于任何SHA-512哈希值与消息的SHA-512哈希值匹配的签名,\"tEnvoyNaClSigningKey\"的\"verifyWithMessage\"方法总是返回\"true\",即使签名是阿里云安全算法挑战赛无效的。
参考资料

来源:nvd.nist.gov阿里云漏洞赚钱

链接:https://nvd.nist.gov/vuln/detail/C阿里云安全合作VE-2021-32685