Node.js: Fehlerhaft dokumentiertes Verhalten von crypto.createDiffieHellman().generateKeys()

Beschreibung

Die von crypto.createDiffieHellman() zurückgegebene Funktion generateKeys() erzeugt in Node.js nur fehlende bzw. veraltete Schlüssel: Ein privater Schlüssel wird nur erzeugt, wenn noch keiner gesetzt ist, der zugehörige öffentliche Schlüssel muss nach setPrivateKey() jedoch weiterhin separat berechnet werden. Die Dokumentation beschreibt hingegen, der Aufruf generiere sowohl private als auch öffentliche Diffie-Hellman-Schlüsselwerte. Diese Abweichung zwischen dokumentiertem und tatsächlichem Verhalten kann bei Anwendungen, die diese API als Basis für Sicherheitsfunktionen nutzen, zu Sicherheitsproblemen führen. CVSS-Basiswert: 7.5 (Hoch).

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Node.js

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• HP OpenView Network Node Manager – Remote Code Execution KEV CVE-2005-2773
• Linux Kernel – Improper Authentication in cgroup_release_agent_write KEV CVE-2022-0492
• System Information Library für Node.JS – Command Injection KEV CVE-2021-21315
• Sweet32 – DES/Triple-DES Birthday-Angriff (CVE-2016-2183) CVE-2016-2183
• Synology-SA-22:21 OpenSSL – Weitere Schwachstelle in OpenSSL CVE-2022-3786