CVE-2024-49365

Nome do Software Vulnerável e Versões Afetadas: tiny-secp256k1 versões anteriores a 1.1.7

Descrição: Uma mensagem maliciosa serializável via JSON pode ser criada para contornar a verificação Buffer.isBuffer, resultando na aceitação de objetos estranhos como uma mensagem. Isso pode induzir a função verify() a retornar valores verdadeiros falso-positivos. O problema afeta ambientes onde require('buffer') é o pacote buffer do NPM, como bundles de navegador e aplicativos React Native. Uma mensagem maliciosa pode ser construída para qualquer par mensagem/assinatura já conhecido, com algumas restrições dependendo da mensagem/assinatura conhecida.

Recomendações: Para versões do tiny-secp256k1 anteriores a 1.1.7, atualize para a versão 1.1.7 ou posterior para resolver o problema. Como solução alternativa temporária, considere adicionar validação de entrada adicional para garantir que apenas instâncias reais de Uint8Array sejam aceitas como mensagens. Restrinja o acesso à função verify() para minimizar o risco de exploração. Evite usar apenas a verificação Buffer.isBuffer para verificar a integridade das mensagens.