CVE-2024-48930

secp256k1-node, secp256k1 eğrisi üzerindeki EC işlemleri için optimize edilmiş bir C kütüphanesi için geliştirilmiş bir Node.js bağlamasıdır. `elliptic` tabanlı sürümde, `loadUncompressedPublicKey` fonksiyonunda genel anahtarın eğri üzerinde olup olmadığını denetleyen bir kontrol bulunmaktadır. Ancak 5.0.1, 4.0.4 ve 3.8.1 sürümlerinden öncekilerde `loadCompressedPublicKey` fonksiyonunda bu kontrol eksiktir. Bu durum, saldırganın düşük kardinaliteye sahip eğrilerdeki genel anahtarları kullanarak, sadece 11 ECDH oturumu kadar az veriyle özel anahtarı tamamen geri yüklemek için yeterli bilgiyi çıkarmasına olanak tanır ve bu işlem hesaplama gücü açısından oldukça ucuzdur. Genel anahtarlar üzerindeki diğer işlemler de etkilenmektedir; örneğin `publicKeyVerify()` fonksiyonunun bu geçersiz anahtarlarda hatalı şekilde `true` döndürmesi ve `publicKeyTweakMul()` fonksiyonunun da tweak değerinin geri yüklenmesine izin veren öngörülebilir sonuçlar döndürmesi gibi. 5.0.1, 4.0.4 ve 3.8.1 sürümleri bu sorun için bir düzeltme içermektedir.