PT-2021-23876 · Stark Bank · Ecdsa-Node

Publicado 2021-11-09 · Atualizado 2021-11-12 · CVE-2021-43571

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Biblioteca ECDSA do Stark Bank para Node.js (ecdsa-node), versão 1.1.2

Descrição

A função de verificação da biblioteca não verifica se a assinatura é diferente de zero, permitindo que invasores falsifiquem assinaturas em mensagens arbitrárias.

Recomendações

Para a versão 1.1.2, atualize para uma versão mais recente que inclua uma correção para este problema, pois a versão atual permite que invasores falsifiquem assinaturas devido à falha da função verify em verificar se as assinaturas são diferentes de zero.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2021-43571

GHSA-Q9Q6-F556-GPM7

Produtos afetados

Ecdsa-Node

Referências · 7

• 🔥 https://research.nccgroup.com/2021/11/08/technical-advisory-arbitrary-signature-forgery-in-stark-bank-ecdsa-libraries · Exploit
• https://github.com/starkbank/ecdsa-node/releases/tag/v1.1.3 · Nota
• https://github.com/starkbank/ecdsa-node · Nota
• https://t.me/cibsecurity/32125 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-43571 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q9q6-f556-gpm7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43571 · Nota de Segurança