PT-2024-29957 · Npm+2 · Elliptic+2

Staypirate · Publicado 2024-08-02 · Atualizado 2025-01-17 · CVE-2024-42461

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Pacote Elliptic versão 6.5.6

Descrição

A maleabilidade da assinatura ECDSA ocorre no pacote Elliptic porque assinaturas codificadas em BER são permitidas. Este problema afeta o pacote Elliptic para Node.js.

Recomendações

Para a versão 6.5.6 do pacote Elliptic, considere atualizar para uma versão mais recente que corrija o problema de maleabilidade da assinatura ECDSA. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

AZL-47425

CVE-2024-42461

GHSA-49Q7-C7J4-3P7M

OPENSUSE-SU-2025:14663-1

Produtos afetados

Astra Linux

Debian

Elliptic

Referências · 44

• https://github.com/indutny/elliptic · Nota
• https://github.com/indutny/elliptic/pull/317 · Correção
• https://github.com/indutny/elliptic/commit/accb61e9c1a005e5c8ff96a8b33893100bb42d11 · Nota
• https://lists.opensuse.org/archives/list/[e-mail]/thread/IL7QOYRPFRGRS6UKU6ZYHI76FWFFUJNK · Nota
• https://t.me/cvedetector/2330 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2024-37298 · Nota
• https://osv.dev/vulnerability/AZL-47425 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2023-45133 · Nota
• https://ubuntu.com/security/CVE-2024-42461 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-24786 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-42461 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-45338 · Nota
• https://suse.com/security/cve/CVE-2024-31207 · Nota
• https://suse.com/security/cve/CVE-2024-21538 · Nota
• https://suse.com/security/cve/CVE-2024-42460 · Nota