🇰🇷 한글 설명
Stark Bank .NET ECDSA 라이브러리(ecdsa-dotnet) 1.3.1 버전의 verify 함수가 서명이 0인지 여부를 확인하지 않는 결함이 있습니다. 이로 인해 공격자가 임의의 메시지에 대해 유효한 서명을 위조할 수 있습니다.
💡 쉬운 설명
디지털 서명이 진짜인지 확인하는 과정에서 '0'이라는 가짜 값을 걸러내지 못하는 보안 구멍이 발견되었습니다. 이를 이용하면 공격자가 마치 본인이 보낸 것처럼 가짜 서명을 만들어낼 수 있습니다.
🇺🇸 원문 (English)
The verify function in the Stark Bank .NET ECDSA library (ecdsa-dotnet) 1.3.1 fails to check that the signature is non-zero, which allows attackers to forge signatures on arbitrary messages.
📍 영향받는 시스템
Stark Bank .NET ECDSA library (ecdsa-dotnet) 1.3.1 및 이전 버전
⚔️ 공격 벡터
서명 검증 과정에서 0 값을 입력하여 서명 검증을 우회하고 임의의 메시지에 서명을 위조함
🛡️ 대응 방법
해당 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하거나 서명 값이 0인지 확인하는 로직을 추가함
🔧 검증 코드
출력된 결과에서 ecdsa-dotnet의 버전이 1.3.1 이하인지 확인합니다.
dotnet list package | grep ecdsa-dotnet