PT-2026-7473 · Unknown+4 · Cryptography+4
Xlabaiteam
·
Publicado
2026-02-10
·
Atualizado
2026-06-03
·
CVE-2026-26007
CVSS v4.0
8.2
Alta
| Vetor | AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do cryptography anteriores a 46.0.5
Descrição
As funções
public key from numbers (ou EllipticCurvePublicNumbers.public key()), EllipticCurvePublicNumbers.public key(), load der public key() e load pem public key() não validam se o ponto de chave pública fornecido pertence ao subgrupo de ordem prima esperado da curva. Essa validação ausente permite que um invasor forneça um ponto de chave pública P de um subgrupo de ordem pequena, potencialmente levando a problemas de segurança na verificação de assinaturas (ECDSA) e na negociação de chaves compartilhadas (ECDH). Ao usar ECDH, a chave privada da vítima módulo a ordem do subgrupo pequeno pode ser vazada. Para curvas com cofator maior que 1, os bits menos significativos da chave privada são revelados. A exploração deste problema com chaves públicas fracas no ECDSA permite a falsificação de assinaturas no subgrupo pequeno. Este problema afeta apenas as curvas SECT.Recomendações
Atualize para a versão 46.0.5 ou posterior do cryptography.
Exploit
Correção
DoS
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Linuxmint
Rocky Linux
Sect
Ubuntu
Cryptography