🇰🇷 한글 설명
Node.js용 Elliptic 패키지 6.5.6 버전에서 EDDSA 서명 길이 검증이 누락되어 서명 가변성 문제가 발생합니다. 이로 인해 서명에 0으로 된 바이트를 추가하거나 제거할 수 있어 서명의 무결성이 훼손될 수 있습니다.
💡 쉬운 설명
전자 서명에 불필요한 0을 넣거나 빼도 똑같은 서명으로 인정되는 보안 결함입니다. 이로 인해 공격자가 서명을 변조하여 인증 과정을 우회할 위험이 있습니다.
🇺🇸 원문 (English)
In the Elliptic package 6.5.6 for Node.js, EDDSA signature malleability occurs because there is a missing signature length check, and thus zero-valued bytes can be removed or appended.
📍 영향받는 시스템
Node.js Elliptic package version 6.5.6 and below
⚔️ 공격 벡터
서명 데이터의 길이를 조작하여 유효한 서명처럼 보이게 만드는 서명 가변성 공격
🛡️ 대응 방법
Elliptic 패키지를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 elliptic의 버전이 6.5.6 이하인지 확인하십시오.