🇰🇷 한글 설명
Node.js용 secp256k1-js 패키지 1.1.0 미만 버전에서 ECDSA 구현 시 r 및 s 값에 대한 필수 검증이 누락되었습니다. 이로 인해 공격자가 유효하지 않은 서명을 생성하여 인증을 우회할 수 있는 서명 위조 취약점이 발생합니다.
💡 쉬운 설명
디지털 서명을 검증할 때 꼭 확인해야 할 숫자를 확인하지 않는 오류가 있습니다. 이 때문에 가짜 서명을 진짜처럼 속여서 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
The secp256k1-js package before 1.1.0 for Node.js implements ECDSA without required r and s validation, leading to signature forgery.
📍 영향받는 시스템
secp256k1-js package version < 1.1.0
⚔️ 공격 벡터
검증되지 않은 r, s 값을 포함한 조작된 ECDSA 서명을 전송하여 인증 우회
🛡️ 대응 방법
secp256k1-js 패키지를 1.1.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.1.0 미만인지 확인하여 취약 여부를 판단합니다.