Debian DSA-5132-1 : ecdsautils - セキュリティ更新

high Nessus プラグイン ID 160846

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10/11 ホストには、dsa-5132 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- ecdsautils は ECDSA (keygen、sign、verify) に使用されるプログラムの小さなコレクションです。
「ecdsa_verify_[prepare_]legacy()」は、シグネチャ値「r」および「s」がゼロではないかをチェックしません。ゼロのみで構成される署名は常に有効と見なされるので、署名を偽造することは簡単です。
異なる公開鍵からの複数の署名を要求しても、問題は緩和されません：
「ecdsa_verify_list_legacy()」は、そのような偽造された署名の任意の数を受け入れます。「ecdsautil verify」CLI コマンドと libecdsautil ライブラリの両方が影響を受けます。この問題は ecdsautils 0.4.1で修正されました。ecdsautils のすべての古いバージョン (ライブラリおよび CLI ユーティリティに分割される前のすべてのバージョンを含む) が脆弱です。(CVE-2022-24884)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。