CVE-2026-102414 in pbkdf2
요약
\~에 의해 VulDB • 2026. 09. 29.
pbkdf2 버전 3.1.6 이하에서는 JavaScript 폴백(lib/sync.js)에서 매 반복마다 다이제스트의 블록 크기보다 긴 비밀번호를 재해싱합니다. 블록 크기(sha384 및 sha512의 경우 128바이트 포함)보다 긴 비밀번호가 각 반복마다 HMAC에 키로 전달되며, HMAC는 이러한 키를 매번 전체적으로 해시 처리합니다. 따라서 비용은 O(iterations × password length)이며, 긴 비밀번호는 이벤트 루프를 차단할 수 있습니다. 이 폴백 메커니즘은 네이티브 pbkdf2Sync가 라이브러리의 기능 검사를 통과하지 못하는 Node.js 0.12 이전 버전, Bun(1.0.0부터 1.1.34까지 및 1.2.6 이후), Deno 2.9.0 이상에서 사용됩니다. 또한 lib/sync.js를 직접 가져올 때도 이 폴백이 적용됩니다. Node.js 0.12 이상과 브라우저 빌드(lib/sync-browser.js 사용)는 영향을 받지 않습니다. 합리적인 최대 비밀번호 길이를 강제하는 애플리케이션은 실질적인 영향을 받지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.