CVE-2025-9288：流行 JavaScript 库存在严重漏洞，威胁全球 Web 安全
我要评论广泛使用的行J胁全JavaScript加密库sha.js近日披露了一个严重安全漏洞 。该库实现了安全哈希算法（Secure Hash Algorithm ，存严SHA）系列 ，重漏每周下载量超过1400万次，洞威是安全许多依赖加密哈希保障安全的Node.js和浏览器应用程序的免费模板核心组件 。
该漏洞编号为CVE-2025-9288 ，行J胁全CVSS评分为9.1分 ，存严源于输入类型检查缺失问题 。重漏攻击者可借此操纵哈希值计算过程 ，洞威导致从哈希碰撞到加密密钥提取等一系列严重后果 。安全
漏洞根源在于该库未能正确验证输入数据类型。服务器租用行J胁全安全公告指出："缺失输入类型检查会导致在恶意JSON可序列化输入时计算无效值 、存严挂起或回滚哈希状态（包括将标记哈希转变为未标记哈希）" 。重漏
主要攻击方式(1) 哈希状态回滚
攻击者通过输入类似{ length: -x }的洞威参数，可有效回滚哈希函数的安全内部状态 。这不仅会中断计算过程 ，模板下载还能将加密库中用于确保数据完整性的标记哈希转变为未标记哈希 ，从而破坏其保护机制 。
(2) 数值误算与碰撞
攻击者可构造如下恶意输入 ：
复制{ length: buf.length, ...buf, 0: buf[0] + 256 }1.即使底层数值不同 ，该输入仍会生成与原缓冲区(buf)相同的哈希值。其他库（如bn.js）可能对这些值的高防服务器解释存在差异 ，导致危险的逻辑不一致 。
(3) 拒绝服务(DoS)攻击
通过提供类似{ length: 1e99 }的输入 ，攻击者可导致函数无限挂起，使依赖sha.js的云计算应用程序陷入拒绝服务状态 。
(4) 加密灾难 ：私钥提取
最严重的后果出现在通过哈希生成随机数的系统中 。如果两个不同值产生匹配哈希但数值解释相异 ，攻击者可利用此漏洞推导出加密私钥 。正如公告警告 ："不同值的源码库匹配随机数通常会导致私钥立即恢复 。"
修复建议使用sha.js的开发者和组织应立即升级至已修复版本(2.4.12)以防止漏洞被利用 。
相关文章
人工智能技术“出圈”后，越来越多网络攻击者对生成人工智能工具表现出极大“兴趣”。从 Bleeping Computer 网站披露的信息来看，暗网市场目前有数十万个 OpenAI 证书待售。据悉，技术不2025-12-07
一场导致全球加密货币市场暴跌的惊天劫案在上周五浮出水面。迪拜加密交易所Bybit遭遇的15亿美元以太坊资产失窃案，不仅刷新数字资产单次失窃金额纪录，更暴露出多重签名冷钱包这一"行业金标准"的系统性风险2025-12-07
近年来随着重大数据泄露和网络安全事件的频繁发生，网络攻击对股价的影响成为了投资者和公司管理层关心的焦点。尽管直观上看，网络攻击带来的数据泄露会导致公司股价大幅下跌，但实际情况比预想的更加复杂。Comp2025-12-07
日本电信巨头NTT近日遭遇数据泄露事件，波及近1.8万家企业的客户信息。事件时间线及发现过程2月5日，NTT安全团队在其“订单信息分发系统”中检测到可疑活动，并立即限制了对设备A的访问。根据公司发布的2025-12-07
Group-IB：0ktapus网络钓鱼攻击导致Twilio等130个组织的上万凭据被窃取
两周前，Twilio 和 Cloudflare 披露了一场精心策划的网络钓鱼攻击，导致两家公司员工的账户凭据被泄露。其中 Twilio 的两步验证2FA）系统被攻破，导致攻击者能够访问其内部系统。现在2025-12-07
当ChatGPT等工具出现故障时，软件开发人员离开工位、临时休息或沮丧地靠在椅背上的场景并不罕见。对许多技术从业者而言，AI辅助编码工具已成为日常便利。即便是像2025年3月24日那样的短暂中断，也可2025-12-07
最新评论