kritisch
CVE-2024-48949
elliptic: Missing Validation in Elliptic's EDDSA Signature Verification
In der Trivy Database seit spätestens 24. Okt. 2026, 07:11 UTCWann der Eintrag vor diesem Build hinzukam, ist nicht erfasst.
Einstufung nach Quelle
NVD9.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
GHSA2.7CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U
Red Hat8.2CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Trivys eigenes Label ist CRITICAL. Kritisch laut NVD, CBL-Mariner. Niedriger laut Red Hat (hoch), GHSA (niedrig).
Beschreibung
The verify function in lib/elliptic/eddsa/index.js in the Elliptic package before 6.5.6 for Node.js omits "sig.S().gte(sig.eddsa.curve.n) || sig.S().isNeg()" validation.
Betroffene Pakete und behobene Versionen
| Quelle | Paket | Behoben in |
|---|---|---|
| CBL-Mariner 2.0 | reaper | 0:3.1.1-13.cm2 |
| debian 11 | node-elliptic | kein Fix angegeben |
| debian 12 | node-elliptic | kein Fix angegeben |
| debian 13 | node-elliptic | 6.5.7+dfsg-1 |
| debian 14 | node-elliptic | 6.5.7+dfsg-1 |
| echo | node-elliptic | 6.5.7+dfsg-1 |
| npm::GitHub Security Advisory npm | elliptic | 6.5.6 |
| rapidfort debian 12 | node-elliptic | 0:6.5.7+dfsg-1 |
| rapidfort debian 13 | node-elliptic | 0:6.5.7+dfsg-1 |
| Red Hat | firefox, grafana, grafana-azure-monitor und 13 weitere | kein Fix angegeben |
| seal npm::Seal Security Database | @seal-security/elliptic, elliptic | 6.5.3-sp3, 6.5.4-sp2 |
Alle 27 Einträge aus 11 Quellen zeigen
| Quelle | Paket | Behoben in |
|---|---|---|
| CBL-Mariner 2.0 | reaper | 0:3.1.1-13.cm2 |
| debian 11 | node-elliptic | kein Fix angegeben |
| debian 12 | node-elliptic | kein Fix angegeben |
| debian 13 | node-elliptic | 6.5.7+dfsg-1 |
| debian 14 | node-elliptic | 6.5.7+dfsg-1 |
| echo | node-elliptic | 6.5.7+dfsg-1 |
| npm::GitHub Security Advisory npm | elliptic | 6.5.6 |
| rapidfort debian 12 | node-elliptic | 0:6.5.7+dfsg-1 |
| rapidfort debian 13 | node-elliptic | 0:6.5.7+dfsg-1 |
| Red Hat | firefox | kein Fix angegeben |
| Red Hat | grafana | kein Fix angegeben |
| Red Hat | grafana-azure-monitor | kein Fix angegeben |
| Red Hat | grafana-cloudwatch | kein Fix angegeben |
| Red Hat | grafana-elasticsearch | kein Fix angegeben |
| Red Hat | grafana-graphite | kein Fix angegeben |
| Red Hat | grafana-influxdb | kein Fix angegeben |
| Red Hat | grafana-loki | kein Fix angegeben |
| Red Hat | grafana-mssql | kein Fix angegeben |
| Red Hat | grafana-mysql | kein Fix angegeben |
| Red Hat | grafana-opentsdb | kein Fix angegeben |
| Red Hat | grafana-postgres | kein Fix angegeben |
| Red Hat | grafana-prometheus | kein Fix angegeben |
| Red Hat | grafana-selinux | kein Fix angegeben |
| Red Hat | grafana-stackdriver | kein Fix angegeben |
| Red Hat | thunderbird | kein Fix angegeben |
| seal npm::Seal Security Database | @seal-security/elliptic | 6.5.3-sp3, 6.5.4-sp2 |
| seal npm::Seal Security Database | elliptic | 6.5.3-sp3, 6.5.4-sp2 |
Referenzen
- https://access.redhat.com/security/cve/CVE-2024-48949
- https://blog.trailofbits.com/2025/11/18/we-found-cryptography-bugs-in-the-elliptic-library-using-wycheproof
- https://blog.trailofbits.com/2025/11/18/we-found-cryptography-bugs-in-the-elliptic-library-using-wycheproof/
- https://github.com/indutny/elliptic
- https://github.com/indutny/elliptic/commit/7ac5360118f74eb02da73bdf9f24fd0c72ff5281
- https://github.com/indutny/elliptic/compare/v6.5.5...v6.5.6
- https://nvd.nist.gov/vuln/detail/CVE-2024-48949
- https://security.netapp.com/advisory/ntap-20241227-0003