crítica
CVE-2024-48949
elliptic: Missing Validation in Elliptic's EDDSA Signature Verification
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.
Severidad por fuente
NVD9.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
GHSA2.7CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U
Red Hat8.2CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
La etiqueta propia de Trivy es CRITICAL. Crítica según NVD, CBL-Mariner. Más baja según Red Hat (alta), GHSA (baja).
Descripción
The verify function in lib/elliptic/eddsa/index.js in the Elliptic package before 6.5.6 for Node.js omits "sig.S().gte(sig.eddsa.curve.n) || sig.S().isNeg()" validation.
Paquetes afectados y versiones corregidas
| Fuente | Paquete | Corregido en |
|---|---|---|
| CBL-Mariner 2.0 | reaper | 0:3.1.1-13.cm2 |
| debian 11 | node-elliptic | sin corrección indicada |
| debian 12 | node-elliptic | sin corrección indicada |
| debian 13 | node-elliptic | 6.5.7+dfsg-1 |
| debian 14 | node-elliptic | 6.5.7+dfsg-1 |
| echo | node-elliptic | 6.5.7+dfsg-1 |
| npm::GitHub Security Advisory npm | elliptic | 6.5.6 |
| rapidfort debian 12 | node-elliptic | 0:6.5.7+dfsg-1 |
| rapidfort debian 13 | node-elliptic | 0:6.5.7+dfsg-1 |
| Red Hat | firefox, grafana, grafana-azure-monitor y 13 más | sin corrección indicada |
| seal npm::Seal Security Database | @seal-security/elliptic, elliptic | 6.5.3-sp3, 6.5.4-sp2 |
Mostrar las 27 entradas de 11 fuentes
| Fuente | Paquete | Corregido en |
|---|---|---|
| CBL-Mariner 2.0 | reaper | 0:3.1.1-13.cm2 |
| debian 11 | node-elliptic | sin corrección indicada |
| debian 12 | node-elliptic | sin corrección indicada |
| debian 13 | node-elliptic | 6.5.7+dfsg-1 |
| debian 14 | node-elliptic | 6.5.7+dfsg-1 |
| echo | node-elliptic | 6.5.7+dfsg-1 |
| npm::GitHub Security Advisory npm | elliptic | 6.5.6 |
| rapidfort debian 12 | node-elliptic | 0:6.5.7+dfsg-1 |
| rapidfort debian 13 | node-elliptic | 0:6.5.7+dfsg-1 |
| Red Hat | firefox | sin corrección indicada |
| Red Hat | grafana | sin corrección indicada |
| Red Hat | grafana-azure-monitor | sin corrección indicada |
| Red Hat | grafana-cloudwatch | sin corrección indicada |
| Red Hat | grafana-elasticsearch | sin corrección indicada |
| Red Hat | grafana-graphite | sin corrección indicada |
| Red Hat | grafana-influxdb | sin corrección indicada |
| Red Hat | grafana-loki | sin corrección indicada |
| Red Hat | grafana-mssql | sin corrección indicada |
| Red Hat | grafana-mysql | sin corrección indicada |
| Red Hat | grafana-opentsdb | sin corrección indicada |
| Red Hat | grafana-postgres | sin corrección indicada |
| Red Hat | grafana-prometheus | sin corrección indicada |
| Red Hat | grafana-selinux | sin corrección indicada |
| Red Hat | grafana-stackdriver | sin corrección indicada |
| Red Hat | thunderbird | sin corrección indicada |
| seal npm::Seal Security Database | @seal-security/elliptic | 6.5.3-sp3, 6.5.4-sp2 |
| seal npm::Seal Security Database | elliptic | 6.5.3-sp3, 6.5.4-sp2 |
Referencias
- https://access.redhat.com/security/cve/CVE-2024-48949
- https://blog.trailofbits.com/2025/11/18/we-found-cryptography-bugs-in-the-elliptic-library-using-wycheproof
- https://blog.trailofbits.com/2025/11/18/we-found-cryptography-bugs-in-the-elliptic-library-using-wycheproof/
- https://github.com/indutny/elliptic
- https://github.com/indutny/elliptic/commit/7ac5360118f74eb02da73bdf9f24fd0c72ff5281
- https://github.com/indutny/elliptic/compare/v6.5.5...v6.5.6
- https://nvd.nist.gov/vuln/detail/CVE-2024-48949
- https://security.netapp.com/advisory/ntap-20241227-0003