critique
CVE-2024-48949
elliptic: Missing Validation in Elliptic's EDDSA Signature Verification
Dans la Trivy database depuis au moins le 24 oct. 2026, 07:11 UTCLa date d'entrée avant ce build n'est pas enregistrée.
Sévérité par source
NVD9.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
GHSA2.7CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U
Red Hat8.2CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Le label propre à Trivy est CRITICAL. Critique selon NVD, CBL-Mariner. Plus basse selon Red Hat (élevée), GHSA (faible).
Description
The verify function in lib/elliptic/eddsa/index.js in the Elliptic package before 6.5.6 for Node.js omits "sig.S().gte(sig.eddsa.curve.n) || sig.S().isNeg()" validation.
Paquets affectés et versions corrigées
| Source | Paquet | Corrigé en |
|---|---|---|
| CBL-Mariner 2.0 | reaper | 0:3.1.1-13.cm2 |
| debian 11 | node-elliptic | pas de correctif indiqué |
| debian 12 | node-elliptic | pas de correctif indiqué |
| debian 13 | node-elliptic | 6.5.7+dfsg-1 |
| debian 14 | node-elliptic | 6.5.7+dfsg-1 |
| echo | node-elliptic | 6.5.7+dfsg-1 |
| npm::GitHub Security Advisory npm | elliptic | 6.5.6 |
| rapidfort debian 12 | node-elliptic | 0:6.5.7+dfsg-1 |
| rapidfort debian 13 | node-elliptic | 0:6.5.7+dfsg-1 |
| Red Hat | firefox, grafana, grafana-azure-monitor et 13 autres | pas de correctif indiqué |
| seal npm::Seal Security Database | @seal-security/elliptic, elliptic | 6.5.3-sp3, 6.5.4-sp2 |
Afficher les 27 entrées de 11 sources
| Source | Paquet | Corrigé en |
|---|---|---|
| CBL-Mariner 2.0 | reaper | 0:3.1.1-13.cm2 |
| debian 11 | node-elliptic | pas de correctif indiqué |
| debian 12 | node-elliptic | pas de correctif indiqué |
| debian 13 | node-elliptic | 6.5.7+dfsg-1 |
| debian 14 | node-elliptic | 6.5.7+dfsg-1 |
| echo | node-elliptic | 6.5.7+dfsg-1 |
| npm::GitHub Security Advisory npm | elliptic | 6.5.6 |
| rapidfort debian 12 | node-elliptic | 0:6.5.7+dfsg-1 |
| rapidfort debian 13 | node-elliptic | 0:6.5.7+dfsg-1 |
| Red Hat | firefox | pas de correctif indiqué |
| Red Hat | grafana | pas de correctif indiqué |
| Red Hat | grafana-azure-monitor | pas de correctif indiqué |
| Red Hat | grafana-cloudwatch | pas de correctif indiqué |
| Red Hat | grafana-elasticsearch | pas de correctif indiqué |
| Red Hat | grafana-graphite | pas de correctif indiqué |
| Red Hat | grafana-influxdb | pas de correctif indiqué |
| Red Hat | grafana-loki | pas de correctif indiqué |
| Red Hat | grafana-mssql | pas de correctif indiqué |
| Red Hat | grafana-mysql | pas de correctif indiqué |
| Red Hat | grafana-opentsdb | pas de correctif indiqué |
| Red Hat | grafana-postgres | pas de correctif indiqué |
| Red Hat | grafana-prometheus | pas de correctif indiqué |
| Red Hat | grafana-selinux | pas de correctif indiqué |
| Red Hat | grafana-stackdriver | pas de correctif indiqué |
| Red Hat | thunderbird | pas de correctif indiqué |
| seal npm::Seal Security Database | @seal-security/elliptic | 6.5.3-sp3, 6.5.4-sp2 |
| seal npm::Seal Security Database | elliptic | 6.5.3-sp3, 6.5.4-sp2 |
Références
- https://access.redhat.com/security/cve/CVE-2024-48949
- https://blog.trailofbits.com/2025/11/18/we-found-cryptography-bugs-in-the-elliptic-library-using-wycheproof
- https://blog.trailofbits.com/2025/11/18/we-found-cryptography-bugs-in-the-elliptic-library-using-wycheproof/
- https://github.com/indutny/elliptic
- https://github.com/indutny/elliptic/commit/7ac5360118f74eb02da73bdf9f24fd0c72ff5281
- https://github.com/indutny/elliptic/compare/v6.5.5...v6.5.6
- https://nvd.nist.gov/vuln/detail/CVE-2024-48949
- https://security.netapp.com/advisory/ntap-20241227-0003