リモートの Debian 9 ホストには、dla-2997 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - ecdsautils は ECDSA (keygen、sign、verify) に使用されるプログラムの小さなコレクションです。
    「ecdsa_verify_[prepare_]legacy()」は、シグネチャ値「r」および「s」がゼロではないかをチェックしません。ゼロのみで構成される署名は常に有効と見なされるので、署名を偽造することは簡単です。
    異なる公開鍵からの複数の署名を要求しても、問題は緩和されません :
    「ecdsa_verify_list_legacy()」は、そのような偽造された署名の任意の数を受け入れます。「ecdsautil verify」CLI コマンドと libecdsautil ライブラリの両方が影響を受けます。この問題は ecdsautils 0.4.1 で修正されました。ecdsautils のすべての古いバージョン (ライブラリおよび CLI ユーティリティに分割される前のすべてのバージョンを含む) が脆弱です。(CVE-2022-24884)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Debian DLA-2997-1 : ecdsautils - LTS セキュリティ更新

high Nessus プラグイン ID 160714

変更ログが見つかりません