🇰🇷 한글 설명
Node.js용 Elliptic 패키지 6.5.7 버전의 ECDSA 구현에서 특정 조건 하에 유효한 서명을 올바르게 검증하지 못하는 취약점이 발견되었습니다. 해시 값에 4개 이상의 앞자리 0 바이트가 포함되고 타원 곡선 기저점의 차수가 해시보다 작을 경우, _truncateToN 이상으로 인해 정상적인 서명이 거부될 수 있습니다.
💡 쉬운 설명
디지털 서명을 확인하는 과정에서 특정 조건이 맞으면 정상적인 서명을 가짜라고 잘못 판단하는 오류가 있습니다. 이로 인해 정상적인 결제나 통신이 차단될 수 있습니다.
🇺🇸 원문 (English)
The Elliptic package 6.5.7 for Node.js, in its for ECDSA implementation, does not correctly verify valid signatures if the hash contains at least four leading 0 bytes and when the order of the elliptic curve's base point is smaller than the hash, because of an _truncateToN anomaly. This leads to valid signatures being rejected. Legitimate transactions or communications may be incorrectly flagged as invalid.
📍 영향받는 시스템
Node.js Elliptic package version 6.5.7
⚔️ 공격 벡터
공격자가 직접 시스템을 해킹하는 방식이 아니라, 특정 조건의 해시값을 가진 데이터가 전달될 때 시스템이 정상적인 동작을 수행하지 못하게 만드는 논리적 오류입니다.
🛡️ 대응 방법
Elliptic 패키지를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 elliptic의 버전이 6.5.7인지 확인하십시오.