Vulnerabilidad en Thinbus Javascript Secure Remote Password (CVE-2025-54885)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-331
Entropía insuficiente
Fecha de publicación:
07/08/2025
Última modificación:
07/08/2025
Descripción
Thinbus Javascript Secure Remote Password es una implementación de SRP6a para navegadores que permite la autenticación de contraseñas de conocimiento cero. En las versiones 2.0.0 y anteriores, un error de cumplimiento del protocolo provoca que el cliente genere una entropía fija de 252 bits en lugar de la longitud de bits prevista para el primo seguro (predeterminada en 2048 bits). El valor público del cliente se genera a partir de un valor privado 4 bits por debajo de la especificación. Esto reduce el margen de seguridad diseñado para el protocolo y ahora es prácticamente explotable. El número aleatorio completo de 2048 bits del servidor se utiliza para crear la clave de sesión compartida y la prueba de contraseña. Esto se solucionó en la versión 2.0.1.