🇰🇷 한글 설명
Stark Bank Python ECDSA 라이브러리(starkbank-escada 또는 ecdsa-python) 2.0.1 미만 버전의 verify 함수에서 서명이 0인지 확인하지 않는 결함이 발견되었습니다. 이로 인해 공격자가 임의의 메시지에 대해 유효한 서명을 위조할 수 있습니다.
💡 쉬운 설명
디지털 서명이 '0'인 경우에도 정상적인 서명으로 잘못 인식하는 보안 허점이 있습니다. 이를 이용하면 공격자가 가짜 서명을 만들어 마치 정당한 권한이 있는 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
The verify function in the Stark Bank Python ECDSA library (aka starkbank-escada or ecdsa-python) before 2.0.1 fails to check that the signature is non-zero, which allows attackers to forge signatures on arbitrary messages.
📍 영향받는 시스템
starkbank-escada 또는 ecdsa-python 2.0.1 미만 버전
⚔️ 공격 벡터
서명 검증 과정에서 0 값을 필터링하지 못하는 점을 악용하여 임의의 메시지에 대한 위조 서명 전송
🛡️ 대응 방법
해당 라이브러리를 2.0.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.0.1 미만인지 확인하십시오.
pip show starkbank-escada ecdsa-python | grep -E 'Name:|Version'