Pypi · Ecdsa · CVE-2024-23342
**Nome do software vulnerável e versões afetadas**
Versões 0.18.0 e anteriores do ecdsa
**Descrição**
O pacote ecdsa do PyPI, uma implementação em Python puro da ECC (Criptografia de Curvas Elípticas), é afetado por um ataque de temporização Minerva na curva P-256. Esse ataque pode vazar o nonce interno ao usar a função da API `ecdsa.SigningKey.sign digest()`, permitindo potencialmente a descoberta da chave privada. O problema afeta assinaturas ECDSA, geração de chaves e operações ECDH, mas não a verificação de assinaturas ECDSA.
**Recomendações**
Para as versões 0.18.0 e anteriores, como solução temporária, considere restringir o uso da função `ecdsa.SigningKey.sign digest()` até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.