Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-04276

Опубликовано: 05 мая 2022
Источник: fstec
CVSS3: 10
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость функции ecdsa_verify_[prepare_]legacy() инструмента командной строки криптографии эллиптической кривой ECDSA ecdsautils связана с некорректной проверкой криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Сообщество свободного программного обеспечения
Fedora Project

Наименование ПО

Debian GNU/Linux
Fedora
ecdsautils

Версия ПО

10 (Debian GNU/Linux)
34 (Fedora)
11 (Debian GNU/Linux)
35 (Fedora)
36 (Fedora)
до 0.4.1 (ecdsautils)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 34
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Fedora Project Fedora 35
Fedora Project Fedora 36

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для ecdsautils:
https://github.com/freifunk-gluon/ecdsautils/security/advisories/GHSA-qhcg-9ffp-78pw
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4AKQH5WCBMJA3ODCSNERY6HVX4BX3ITG/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/G2JT57AAFIEL7JDO2ZBV25JKYME5NU54/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/L7UBR3M4U3LA46BHXYSH7EN5GDG44GK7/
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-24884

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 32%
0.00124
Низкий

10 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 10
ubuntu
почти 4 года назад

ecdsautils is a tiny collection of programs used for ECDSA (keygen, sign, verify). `ecdsa_verify_[prepare_]legacy()` does not check whether the signature values `r` and `s` are non-zero. A signature consisting only of zeroes is always considered valid, making it trivial to forge signatures. Requiring multiple signatures from different public keys does not mitigate the issue: `ecdsa_verify_list_legacy()` will accept an arbitrary number of such forged signatures. Both the `ecdsautil verify` CLI command and the libecdsautil library are affected. The issue has been fixed in ecdsautils 0.4.1. All older versions of ecdsautils (including versions before the split into a library and a CLI utility) are vulnerable.

CVSS3: 10
nvd
почти 4 года назад

ecdsautils is a tiny collection of programs used for ECDSA (keygen, sign, verify). `ecdsa_verify_[prepare_]legacy()` does not check whether the signature values `r` and `s` are non-zero. A signature consisting only of zeroes is always considered valid, making it trivial to forge signatures. Requiring multiple signatures from different public keys does not mitigate the issue: `ecdsa_verify_list_legacy()` will accept an arbitrary number of such forged signatures. Both the `ecdsautil verify` CLI command and the libecdsautil library are affected. The issue has been fixed in ecdsautils 0.4.1. All older versions of ecdsautils (including versions before the split into a library and a CLI utility) are vulnerable.

CVSS3: 10
debian
почти 4 года назад

ecdsautils is a tiny collection of programs used for ECDSA (keygen, si ...

EPSS

Процентиль: 32%
0.00124
Низкий

10 Critical

CVSS3

9.4 Critical

CVSS2