PT-2021-23874 · Stark Bank · Stark Bank .Net Ecdsa Library

Publicado 2021-11-09 · Atualizado 2021-11-12 · CVE-2021-43569

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Biblioteca Stark Bank .NET ECDSA (ecdsa-dotnet), versão 1.3.1

Descrição

A função de verificação da biblioteca não consegue verificar se a assinatura é diferente de zero, permitindo que invasores falsifiquem assinaturas em mensagens arbitrárias.

Recomendações

Para a versão 1.3.1, considere desativar a função de verificação até que um patch esteja disponível para impedir que invasores falsifiquem assinaturas.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2021-43569

GHSA-J3JW-J2J8-2WV9

Produtos afetados

Stark Bank .Net Ecdsa Library

Referências · 7

• 🔥 https://research.nccgroup.com/2021/11/08/technical-advisory-arbitrary-signature-forgery-in-stark-bank-ecdsa-libraries · Exploit
• https://github.com/starkbank/ecdsa-dotnet/releases/tag/v1.3.2 · Nota
• https://github.com/starkbank/ecdsa-dotnet · Nota
• https://t.me/cibsecurity/32121 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-43569 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j3jw-j2j8-2wv9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43569 · Nota de Segurança