「OpenPGP.js」の署名検証に脆弱性 - 修正パッチをリリース

「OpenPGP」のJavaScript向けライブラリ「OpenPGP.js」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

データの検証や復号を行うAPI「openpgp.verify」「openpgp.decrypt」において、署名の検証処理に脆弱性「CVE-2025-47934」が判明したもの。

データが改ざんされ、署名された内容と一致していない場合でも有効な署名として処理される不具合が確認された。開発者は重要度をもっとも高い「クリティカル（Critical）」とレーティングしている。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「8.7」、重要度を上から2番目にあたる「高（High）」とした。

開発チームは、同脆弱性を解消したセキュリティパッチ「OpenPGP.js 6.1.1」「同5.11.3」を現地時間2025年5月19日にリリース。あわせて回避策をアナウンスしている。

（Security NEXT - 2025/05/21 ） ツイート

PR

関連記事

「a-blog cms」に「SSRF」など複数脆弱性 - アップデートで修正
PostgreSQL向けミドルウェア「Pgpool-II」に認証回避の脆弱性
「vCenter Server」「ESXi」などVMware製品に複数脆弱性
I-O DATAのNAS製品「HDL-T」シリーズに深刻な脆弱性
SAMLライブラリ「samlify」に「クリティカル」脆弱性
米政府、脆弱性6件の悪用に注意喚起 - メールや社内チャットなども標的に
トルコ関与疑われる攻撃グループ、チャット製品にゼロデイ攻撃
「Kibana」にプロトタイプ汚染の脆弱性 - アップデートや緩和策
「Firefox」のJavaScript処理に脆弱性 - 重要度「クリティカル」
「Auth0」のSDKに脆弱性 - 各プラットフォーム向けにアップデート