Vulnerabilidad en CryptoES (CVE-2023-46133)

CryptoES es una librería de algoritmos de criptografía compatible con ES6 y TypeScript. Antes de la versión 2.1.0, CryptoES PBKDF2 es 1000 veces más débil de lo especificado originalmente en 1993, y al menos 1.300.000 veces más débil que el estándar actual de la industria. Esto se debe a que su valor predeterminado es SHA1, un algoritmo hash criptográfico considerado inseguro desde al menos 2005, y su valor predeterminado es una sola iteración, un valor de "fuerza" o "dificultad" especificado en 1000 cuando se especificó en 1993. PBKDF2 se basa en el recuento de iteraciones como una contramedida a los ataques de preimagen y colisión. Si se utiliza para proteger contraseñas, el impacto es alto. Si se utiliza para generar firmas, el impacto es alto. La versión 2.1.0 contiene un parche para este problema. Como workaround, configure CryptoES para usar SHA256 con al menos 250 000 iteraciones.