遠端 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 LTS 主機上安裝的套件受到 USN-6239-1 公告中所提及的一個弱點影響。

  - ecdsautils 是用於 ECDSA (keygen、sign、verify) 的小型程式集合。
    `ecdsa_verify_[prepare_]legacy()` 不會檢查簽名值 `r` 和 `s` 是否為非零。只包含零的簽名一律視為有效，因此很容易偽造簽名。
    要求提供來自不同公開金鑰的多個簽名並不能緩解此問題：
    `ecdsa_verify_list_legacy()` 將接受任意數量的此類偽造簽名。`ecdsautil verify` CLI 命令和 libecdsautil 程式庫都會受到影響。此問題已在 ecdsautils 0.4.1 中修正。所有舊版 ecdsautils (包括分割成程式庫和 CLI 公用程式之前的版本) 都會受此弱點影響。(CVE-2022-24884)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 LTS : ECDSA Util 弱點 (USN-6239-1)

high Nessus Plugin ID 178636

版本 1.0