CVE-2024-49364

Nome do Software Vulnerável e Versões Afetadas: versões do tiny-secp256k1 anteriores à 1.1.7

Descrição: Uma chave privada pode ser extraída ao assinar um objeto malicioso serializável em JSON, afetando ambientes onde o Buffer global é o pacote buffer. A verificação Buffer.isBuffer pode ser contornada, resultando na reutilização de k para mensagens diferentes, o que leva à extração da chave privada através de uma única mensagem inválida. Esta vulnerabilidade pode ser explorada construindo-se uma mensagem maliciosa para qualquer par mensagem/assinatura já conhecido, permitindo a extração completa da chave com a assinatura de uma única mensagem maliciosa.

Recomendações: Para versões do tiny-secp256k1 anteriores à 1.1.7, atualize para a versão 1.1.7 para resolver o problema. Como solução temporária, considere validar todas as mensagens de entrada para evitar a assinatura de mensagens não verificadas controladas por atacantes. Restrinja o acesso à função secp256k1.sign() para minimizar o risco de exploração. Evite utilizar o pacote Buffer do NPM em ambientes onde ele possa ser explorado.