PT-2022-25818 · Unknown · Secp256K1-Js

Shilohshio · Publicado 2022-09-24 · Atualizado 2022-09-28 · CVE-2022-41340

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do secp256k1-js anteriores à 1.1.0

Descrição

O problema está relacionado à implementação do ECDSA no pacote secp256k1-js, que não possui a validação necessária de r e s. Essa omissão pode levar à falsificação de assinaturas.

Recomendações

Para versões anteriores à 1.1.0, atualize para a versão 1.1.0 ou posterior para resolver o problema.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2022-41340

GHSA-Q3F4-9H4P-VGR3

Produtos afetados

Secp256K1-Js

Referências · 11

• https://github.com/lionello/secp256k1-js/commit/302800f0370b42e360a33774bb808274ac729c2e · Correção
• https://github.com/lionello/secp256k1-js/compare/1.0.1...1.1.0 · Correção
• https://github.com/lionello/secp256k1-js · Nota
• https://github.com/lionello/secp256k1-js/issues/11 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-41340 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q3f4-9h4p-vgr3 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-41340 · Aviso do Fabricante
• https://npmjs.com/package/@lionello/secp256k1-js · Nota
• https://npmjs.com/package/%40lionello/secp256k1-js · Nota
• https://t.me/cvenotify/36794 · Publicação no Telegram
• https://t.me/cvenotify/36784 · Publicação no Telegram