PT-2024-33290 · Node.Js+2 · Elliptic+2
Publicado
2024-07-17
·
Atualizado
2026-01-22
·
CVE-2024-48949
CVSS v2.0
9.4
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões do pacote Elliptic anteriores à 6.5.6
Descrição
O problema diz respeito ao pacote Elliptic para Node.js, especificamente à implementação EDDSA. Ele não realiza a verificação necessária para verificar se a(s) prova(s) de assinatura está(ão) dentro dos limites da ordem n do ponto base da curva elíptica, o que leva à maleabilidade da assinatura. A função
verify em lib/elliptic/eddsa/index.js omite a validação sig.S().gte(sig.eddsa.curve.n) || sig.S().isNeg(). Isso pode ter um impacto relevante para a segurança se um aplicativo depender da exclusividade de uma assinatura.Recomendações
Para versões do pacote Elliptic anteriores à 6.5.6, atualize para a versão 6.5.6 ou posterior para resolver o problema. Como solução temporária, considere desativar a função
verify em lib/elliptic/eddsa/index.js até que um patch esteja disponível. Restrinja o uso da implementação EDDSA para minimizar o risco de exploração.Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Elliptic
Suse