fastecdsa bis 2.3.1 src/curveMath.c curvemath_mul Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.7$0-$5k0.00

Zusammenfassunginfo

In fastecdsa bis 2.3.1 wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Hiervon betroffen ist die Funktion curvemath_mul der Datei src/curveMath.c. Dank der Manipulation mit unbekannten Daten kann eine unbekannte Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2024-21502 gelistet. Ein Angriff ist aus der Distanz möglich. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine problematische Schwachstelle wurde in fastecdsa bis 2.3.1 gefunden. Dies betrifft die Funktion curvemath_mul der Datei src/curveMath.c. Klassifiziert wurde die Schwachstelle durch CWE als CWE-457. Die exakten Auswirkungen einer erfolgreichen Attacke sind bis dato nicht bekannt. Die Zusammenfassung von CVE lautet:

Versions of the package fastecdsa before 2.3.2 are vulnerable to Use of Uninitialized Variable on the stack, via the curvemath_mul function in src/curveMath.c, due to being used and interpreted as user-defined type. Depending on the variable's actual value it could be arbitrary free(), arbitrary realloc(), null pointer dereference and other. Since the stack can be controlled by the attacker, the vulnerability could be used to corrupt allocator structure, leading to possible heap exploitation. The attacker could cause denial of service by exploiting this vulnerability.

Die Schwachstelle wurde am 24.02.2024 als 57fc5689c95d649dab7ef60cc99ac64589f01e36 herausgegeben. Das Advisory findet sich auf github.com. Die Verwundbarkeit wird seit dem 22.12.2023 mit der eindeutigen Identifikation CVE-2024-21502 gehandelt. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 214445 (Amazon Corretto Java 11.x < 11.0.26.4.1 Vulnerability) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Ein Aktualisieren auf die Version 2.3.2 vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 57fc5689c95d649dab7ef60cc99ac64589f01e36 lösen. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (214445) dokumentiert. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.8
VulDB Meta Temp Score: 6.7

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.5
NVD Vector: 🔍

CNA Base Score: 7.5
CNA Vector (Snyk): 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Denial of Service
CWE: CWE-457 / CWE-453
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 214445
Nessus Name: Amazon Corretto Java 11.x < 11.0.26.4.1 Vulnerability

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: fastecdsa 2.3.2
Patch: 57fc5689c95d649dab7ef60cc99ac64589f01e36

Timelineinfo

22.12.2023 🔍
24.02.2024 +64 Tage 🔍
24.02.2024 +0 Tage 🔍
13.02.2025 +355 Tage 🔍

Quelleninfo

Advisory: 57fc5689c95d649dab7ef60cc99ac64589f01e36
Status: Bestätigt

CVE: CVE-2024-21502 (🔍)
GCVE (CVE): GCVE-0-2024-21502
GCVE (VulDB): GCVE-100-254687

Eintraginfo

Erstellt: 24.02.2024 08:10
Aktualisierung: 13.02.2025 03:10
Anpassungen: 24.02.2024 08:10 (52), 22.01.2025 08:09 (17), 13.02.2025 03:10 (12)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Interested in the pricing of exploits?

See the underground prices here!