遠端 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS 主機上安裝的一個套件受到 USN-6753-1 公告中所提及的一個弱點影響。

  - crypto-js 是 crypto 標準的 JavaScript 程式庫。在 4.2.0 之前的版本中，crypto-js PBKDF2 的強度比 1993 年原本指定的值弱 1,000 倍，比目前的業界標準至少弱 1,300,000 倍。這是因為它既預設為 SHA1 (一種至少從 2005 年起就被視為不安全的密碼編譯雜湊演算法)，又預設為單一反覆運算，「強度」或「難度」值在 1993 年指定時指定為 1,000。PBKDF2 仰賴反覆運算次數作為對原像和衝突攻擊的對策。如果用於保護密碼，則影響將會很大。如果用於產生簽名，則影響將會很大。 4.2.0 版包含針對此問題的修補程式。因應措施為將 crypto-js 設定為使用至少 250,000 次反覆運算的 SHA256。(CVE-2023-46233)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : CryptoJS 弱點 (USN-6753-1)

critical Nessus Plugin ID 193904

找不到依附元件