CVE-2024-49364 in tiny-secp256k1
要約
〜によって VulDB • 2026年05月11日
tiny-secp256k1 は、tiny な secp256k1 のネイティブ/JS ラッパーです。バージョン 1.1.7 より前では、グローバルな Buffer が buffer パッケージである場合、悪意のある JSON シリアライズ可能なオブジェクトの署名を行うことで秘密鍵が抽出される可能性があります。これは、require('buffer') が NPM の buffer パッケージである環境にのみ影響します。Buffer.isBuffer チェックをバイパスでき、異なるメッセージ間で k の再利用が発生し、1 つの無効なメッセージ（および任意のメッセージ/署名を取得できる2つ目のメッセージ、例えば以前に既知の有効なメッセージなど）を通じて秘密鍵が抽出される結果となります。この問題はバージョン 1.1.7 で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.