Improper Verification of Cryptographic Signature in starkbank-ecdsa

緊急 9.8CVE-2021-43570 · GHSA-r28h-x6hv-2fq3 · 09/11/2021 公開 · 17/06/2026 更新

要点

CVE-2021-43570 は com.starkbank.ellipticcurve:starkbank-ecdsa, ecdsa-java (starkbank) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.0%（全脆弱性の 63.7% より高い）。
対処：1.0.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.starkbank.ellipticcurve:starkbank-ecdsa Maven	`< 1.0.1`	`1.0.1`
ecdsa-java starkbank	`= 1.0.0`	修正版なし

概要

The verify function in the Stark Bank Java ECDSA library (ecdsa-java) 1.0.0 fails to check that the signature is non-zero, which allows attackers to forge signatures on arbitrary messages.

NVD の説明

The verify function in the Stark Bank Java ECDSA library (ecdsa-java) 1.0.0 fails to check that the signature is non-zero, which allows attackers to forge signatures on arbitrary messages.

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-43570 · ADVISORY
starkbank/ecdsa-java#16 · WEB
starkbank/ecdsa-java commit ed22e48 · WEB
starkbank/ecdsa-java · PACKAGE
starkbank/ecdsa-java release v1.0.1 · WEB
research.nccgroup.com/2021/11/08/technical-advisory-arbitrary-signature-forgery-in-stark-bank-ecdsa-libraries · WEB
research.nccgroup.com/2021/11/08/technical-advisory-arbitrary-signature-forgery-in-stark-bank-ecdsa-libraries · Exploit

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2021-43570 は com.starkbank.ellipticcurve:starkbank-ecdsa, ecdsa-java (starkbank) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。

今後30日間に悪用される確率（EPSS）：1.0%（全脆弱性の 63.7% より高い）。

対処：1.0.1 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

com.starkbank.ellipticcurve:starkbank-ecdsa

Maven

< 1.0.1

1.0.1

ecdsa-java

starkbank

= 1.0.0

修正版なし

概要

The verify function in the Stark Bank Java ECDSA library (ecdsa-java) 1.0.0 fails to check that the signature is non-zero, which allows attackers to forge signatures on arbitrary messages.

NVD の説明

The verify function in the Stark Bank Java ECDSA library (ecdsa-java) 1.0.0 fails to check that the signature is non-zero, which allows attackers to forge signatures on arbitrary messages.