Amazon Linux AMI : python-ecdsa（ALAS-2023-1800）

critical Nessus プラグイン ID 179799

Language:

概要

リモートの Amazon Linux AMI ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS-2023-1800 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- バージョン 0.13.3 より前の python-ecdsa にエラー処理の欠陥が見つかりました。署名のデコーディング中に、無効な形式の DER 署名が予期しない例外を発生させ (または例外をまったく発生させず)、サービス拒否を引き起こす可能性があります。(CVE-2019-14853)

- 0.13.3 より前のすべての python-ecdsa バージョンで欠陥が見つかりました。この欠陥は、署名で DER エンコーディングが使用されているかどうかを正しく検証していませんでした。この検証がないと、無効な形式の署名が受け入れられ、署名が柔軟になる可能性があります。適切に検証されていない場合、攻撃者が柔軟な署名を使用して、偽のトランザクションを作成する可能性があります。(CVE-2019-14859)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。