🇰🇷 한글 설명
Node.js용 Elliptic 패키지 6.5.6 미만 버전의 eddsa/index.js 내 verify 함수에서 서명 값의 유효성 검증이 누락되었습니다. 이로 인해 서명 값 S가 곡선의 차수 n보다 크거나 음수인 경우를 제대로 확인하지 못하는 보안 결함이 존재합니다.
💡 쉬운 설명
디지털 서명의 유효성을 검사할 때 특정 규칙을 지켰는지 확인하는 과정이 빠져 있습니다. 이로 인해 잘못된 서명이 정상적인 것으로 통과될 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The verify function in lib/elliptic/eddsa/index.js in the Elliptic package before 6.5.6 for Node.js omits "sig.S().gte(sig.eddsa.curve.n) || sig.S().isNeg()" validation.
📍 영향받는 시스템
Elliptic 패키지 6.5.6 미만 버전이 사용된 모든 Node.js 환경
⚔️ 공격 벡터
조작된 서명 값을 사용하여 인증 과정을 우회하거나 검증 로직을 무력화하는 방식
🛡️ 대응 방법
Elliptic 패키지를 6.5.6 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 elliptic의 버전이 6.5.6 미만인지 확인하십시오.