PT-2026-7473 · Sect+5 · Sect+5
CVSS v4.0
8.2
Alta
| Vetor | AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
cryptography versões anteriores a 46.0.5
Description
Uma falha de validação ocorre porque as funções
public key from numbers() (ou EllipticCurvePublicNumbers.public key()), EllipticCurvePublicNumbers.public key(), load der public key() e load pem public key() não verificam se o ponto pertence ao subgrupo de ordem prima esperado da curva. Isso permite que um atacante forneça um ponto de chave pública P de um subgrupo de ordem pequena, afetando especificamente curvas SECT. Isso pode levar a problemas de segurança na verificação de assinatura (ECDSA) e na negociação de chave compartilhada (ECDH). No ECDH, quando a vítima calcula o segredo compartilhado como S = [victim private key]P, informações sobre victim private key mod (small subgroup order) são vazadas. Para curvas com cofator maior que 1, isso revela os bits menos significativos da chave privada. Além disso, o uso dessas chaves públicas fracas em ECDSA facilita a falsificação de assinaturas no subgrupo pequeno.Recommendations
Atualizar o cryptography para a versão 46.0.5.
Exploit
Correção
DoS
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Linuxmint
Red Os
Rocky Linux
Sect
Ubuntu
Cryptography