In der Bibliothek OpenPGP.js von
Proton Mail wurde gemäss der
Dokumentation auf Github eine erhebliche Sicherheitslücke entdeckt. Besagte Lücke hat Auswirkungen auf die Prüfung der Signatur einer Nachricht. Wird die Lücke von einem Angreifer durch manipulierte Daten ausgenutzt, retournieren die Funktionen openpgp.verify sowie openpgp.decrypt eine gültige Signatur, obwohl dies in Wahrheit gar nicht der Fall ist. Für einen Angreifer bedeudet dies, dass er einen falschen Absender vortäuschen kann – perfekte Voraussetzung, um beispielsweise einen Phishing-Versuch zu starten.
Für ein derartiges Täuschungsmanöver sind eine gültige Nachrichtensignatur sowie die Klartextdaten, die korrekt signiert wurden, notwendig, wie es weiter heisst. Die Sicherheitslücke mit der Kennung CVE-2025-47934 und dem Schweregrad "critical" ist mittlerweile über einen Patch behoben. Anwendern wird empfohlen, auf die veröffentlichten und gepatchten Versionen 5.11.3 oder 6.1.1 upzudaten. OpenPGP.js Version 4 ist vom Sicherheitsleck nicht betroffen.
(dok)
