CVE-2024-23342

Versões 0.18.0 e anteriores do ecdsa

O pacote ecdsa do PyPI, uma implementação em Python puro da ECC (Criptografia de Curvas Elípticas), é afetado por um ataque de temporização Minerva na curva P-256. Esse ataque pode vazar o nonce interno ao usar a função da API ecdsa.SigningKey.sign digest(), permitindo potencialmente a descoberta da chave privada. O problema afeta assinaturas ECDSA, geração de chaves e operações ECDH, mas não a verificação de assinaturas ECDSA.

Para as versões 0.18.0 e anteriores, como solução temporária, considere restringir o uso da função ecdsa.SigningKey.sign digest() até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.