CVE-2022-24884
Təsvir
ecdsautils, ECDSA üçün istifadə olunan kiçik proqramlar toplusudur (keygen, sign, verify). `ecdsa_verify_[prepare_]legacy()` funksiyası `r` və `s` imza dəyərlərinin sıfırdan fərqli olub-olmadığını yoxlamır. Yalnız sıfırlardan ibarət olan imza hər zaman etibarlı hesab edilir, bu da imzaların saxtalaşdırılmasını asanlaşdırır. Müxtəlif açıq açarlardan çox sayda imzanın tələb olunması problemi aradan qaldırmır: `ecdsa_verify_list_legacy()` belə saxta imzaların istənilən sayda qəbul edilməsinə icazə verir. Həm `ecdsautil verify` CLI əmri, həm də libecdsautil kitabxanası bu problemdən təsirlənir. Problem ecdsautils 0.4.1 versiyasında düzəldilmişdir. ecdsautils-in bütün köhnə versiyaları (kitabxana və CLI alətinə bölünməzdən əvvəlki versiyalar daxil olmaqla) həssasdır.
Necə düzəltmək olar
- ecdsautils_project ecdsautils0.4.1 və ya daha yeni versiya
- debian.org/security/2022/dsa-5132
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/G2JT57AAFIEL7JDO2ZBV25JKYME5NU54/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/L7UBR3M4U3LA46BHXYSH7EN5GDG44GK7/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4AKQH5WCBMJA3ODCSNERY6HVX4BX3ITG/
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ecdsautils_project ecdsautils | v < 0.4.1 | 0.4.1 |
| fedoraproject fedora | 34, 35, 36 | — |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.