CVE-2026-4258
Açıklama
sjcl paketinin 1.0.9 öncesindeki sürümleri, sjcl.ecc.basicKey.publicKey() fonksiyonundaki eksik eğri üzerinde nokta doğrulaması nedeniyle Kriptografik İmzanın Hatalı Doğrulanmasına karşı savunmasızdır. Bir saldırgan, özel olarak hazırlanmış eğri dışı genel anahtarlar gönderip ECDH çıktılarını gözlemleyerek kurbanın ECDH özel anahtarını geri kazanabilir. dhJavaEc() fonksiyonu, skaler çarpım sonucunun ham x koordinatını doğrudan döndürdüğü için (herhangi bir özetleme yapmadan), herhangi bir şifre çözme geri bildirimine ihtiyaç duymadan düz metin orakeli sağlar.
Nasıl düzeltilir
- sjcl1.0.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sjclnpm | v < 1.0.9 | 1.0.9 |
| bitwiseshiftleft stanford_javascript_crypto_library | v ≤ 1.0.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.