Вот тебе
забавная уязвимость в продукте Oracle Java SE, Oracle GraalVM Enterprise Edition для Oracle Java SE - CVE-2022-21449 Для начала предисловие ✨
ECDSA является широко используемым стандартом для подписи всех видов цифровых документов.По сравнению со старым стандартом RSA ключи и подписи на эллиптических кривых, как правило, намного меньше для обеспечения эквивалентной безопасности, в результате чего они широко используются в тех случаях, когда размер имеет большое значение🙃
Например, стандарт WebAuthn для двухфакторной аутентификации позволяет производителям устройств выбирать из широкого спектра алгоритмов подписи, но на практике
почти все устройства, произведенные сейчас, поддерживают только подписи ECDSA (заметным исключением является Windows Hello, в которой используется RSA). Подписи.ECDSA состоит из двух значений, называемых r и s .Чтобы проверить подпись ECDSA , верификатор проверяет уравнение, включающее r , s , открытый ключ подписавшего и хэш сообщения
. Если две части уравнения равны, то подпись действительна, в противном случае она отклоняется.
Одна часть уравнения равна r , а другая часть умножается на r и значение, полученное из s . Так что, очевидно, было бы очень плохо, если бы r и s были равны 0, потому что тогда вы бы проверяли, что 0 = 0 ⨉ [куча вещей] , что будет истинным независимо от значения [куча вещей]. ] ! И эта куча вещей — важные биты, такие как сообщение и открытый ключ. Вот почему самая первая проверка в алгоритме проверки ECDSA заключается в том, чтобы убедиться, что r и s оба >= 1.J
ava забыл сделать реализацию проверки подписи ECDSA в Java грубо говоря она не проверяла, равны ли r или s нулю, поэтому вы можете создать значение подписи, в котором они оба равны 0 😶🌫️, и Java примет его как действительную подпись для любого сообщения и для любого общедоступного сообщения. Вот статья с более подробным описанием тык
Вот сканер и подтверждение ее использования:
Реализация и подтверждение на go тык
Сканер наличие это уязвимости на python тык
Будьте осторожны при работе с java всегда проверяйте код на уязвимости🙃
А на это все . Спасибо за прочтение. ❤️
А тебе дорогая Алиса , удачной игры в крокет с Чеширским котом🐈
#cryptography #cve #scanners #java
