CVE-2019-14859

Błędna weryfikacja podpisów DER w bibliotece python-ecdsa

CVSS 9.1v3.1pub. 2020-01-02upd. 2024-11-21

We wszystkich wersjach biblioteki python-ecdsa przed 0.13.3 wykryto błąd polegający na braku poprawnej weryfikacji kodowania DER podpisów cyfrowych. Podatność umożliwia zaakceptowanie zniekształconego podpisu (signature malleability), co może prowadzić do tworzenia fałszywych transakcji.

▸ Pokaż oryginał (EN)

A flaw was found in all python-ecdsa versions before 0.13.3, where it did not correctly verify whether signatures used DER encoding. Without this verification, a malformed signature could be accepted, making the signature malleable. Without proper verification, an attacker could use a malleable signature to create false transactions.

🤖 Analiza AI

Jak działa

Biblioteka python-ecdsa nie sprawdzała, czy weryfikowane podpisy stosują poprawne kodowanie DER (Distinguished Encoding Rules). Atakujący mógł spreparować zniekształcony podpis, który mimo nieprawidłowej formy był przez bibliotekę akceptowany jako prawidłowy. Zjawisko to, znane jako signature malleability, oznacza, że ten sam podpis może istnieć w wielu różnych postaciach binarnych — co pozwala atakującemu manipulować podpisanymi danymi bez ich unieważnienia.

Skutki

Atakujący może wykorzystać podatność do tworzenia fałszywych transakcji lub manipulowania podpisanymi danymi przez generowanie zmodyfikowanych wariantów poprawnych podpisów. Zagrożone są integralność i wiarygodność systemów kryptograficznych opartych na tej bibliotece.

Mitygacja

Należy zaktualizować bibliotekę python-ecdsa do wersji 0.13.3 lub nowszej (dostępna na PyPI oraz w repozytorium GitHub). W środowiskach Red Hat Ceph Storage i Red Hat OpenStack należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Wszystkie wersje Python-Ecdsa Project python-ecdsa przed wersją 0.13.3, a także produkty Red Hat Ceph Storage i Red Hat OpenStack korzystające z tej biblioteki.