CVE-2026-33936: python-ecdsa: Denegación de servicio mediante validación incorrecta de la longitud DER en claves privadas manipuladas | Kitploit

CVE-2026-33936

MedioPublicado

python-ecdsa: Denegación de servicio mediante validación incorrecta de la longitud DER en claves privadas manipuladas

Publicado: 27 mar 2026
Actualizado: 1 abr 2026
Asignación de CNA: GitHub_M
Evidencia observada: 18 ago 2026

CVSS primario

5,3/ 10Medio

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Estimación de probabilidad EPSS

0,5 %

Bajo · próximos 30 días

Percentil: 40,2 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

El paquete `ecdsa` de PyPI es una implementación de ECC (Criptografía de Curva Elíptica) en Python puro con soporte para ECDSA (Algoritmo de Firma Digital de Curva Elíptica), EdDSA (Algoritmo de Firma Digital de Curva de Edwards) y ECDH (Diffie-Hellman de Curva Elíptica). Antes de la versión 0.19.2, un problema en las funciones de análisis DER de bajo nivel puede provocar que se lancen excepciones inesperadas desde las funciones de la API pública. `ecdsa.der.remove_octet_string()` acepta DER truncado donde la longitud codificada supera el búfer disponible. Por ejemplo, un OCTET STRING que declara una longitud de 4096 bytes pero solo proporciona 3 bytes se analiza correctamente en lugar de rechazarse. Debido a esto, una entrada DER manipulada puede hacer que `SigningKey.from_der()` lance una excepción interna (`IndexError: index out of bounds on dimension 1`) en lugar de rechazar limpiamente el DER malformado (por ejemplo, lanzando `UnexpectedDER` o `ValueError`). Las aplicaciones que analizan claves privadas DER no confiables pueden fallar si no manejan excepciones inesperadas, lo que resulta en una denegación de servicio. La versión 0.19.2 corrige el problema.

Fuentes

CVE-2026-33936Investigación
Vulnerabilidad de denegación de servicio en ecdsa (PyPI)

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.