Vulnerabilidad en tiny-secp256k1 (CVE-2024-49364)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-522
Credenciales insuficientemente protegidas
Fecha de publicación:
01/07/2025
Última modificación:
03/07/2025
Descripción
tiny-secp256k1 es un contenedor nativo/JS de tiny secp256k1. Antes de la versión 1.1.7, se podía extraer una clave privada al firmar un objeto JSON malicioso que se pudiera convertir en cadena, cuando el paquete de búfer era global Búffer. Esto solo afecta a entornos donde require('búfer') es el paquete de búfer de NPM. La comprobación de Buffer.isBuffer se puede omitir, lo que resulta en la reutilización de k para diferentes mensajes, lo que conlleva la extracción de la clave privada de un único mensaje no válido (y de un segundo para el que se podría obtener cualquier mensaje/firma, por ejemplo, uno previamente conocido como válido). Este problema se ha corregido en la versión 1.1.7.