CVE-2026-33936
python-ecdsa: Отказ в обслуживании из-за некорректной проверки длины DER в специально созданных закрытых ключах
- Опубликовано
- 27 мар. 2026 г.
- Обновлено
- 1 апр. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 18 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:LНизкий · следующие 30 дней
- Процентиль
- 43,0 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Пакет `ecdsa` на PyPI — это чистая Python-реализация ECC (криптографии на эллиптических кривых) с поддержкой ECDSA (алгоритма цифровой подписи на эллиптических кривых), EdDSA (алгоритма цифровой подписи на кривых Эдвардса) и ECDH (протокола Диффи-Хеллмана на эллиптических кривых). До версии 0.19.2 проблема в низкоуровневых функциях разбора DER может вызывать непредвиденные исключения из функций публичного API. `ecdsa.der.remove_octet_string()` принимает усечённый DER, где закодированная длина превышает доступный буфер. Например, OCTET STRING, объявляющий длину 4096 байт, но предоставляющий только 3 байта, успешно разбирается вместо того, чтобы быть отклонённым. Из-за этого специально сформированный DER-ввод может привести к тому, что `SigningKey.from_der()` вызовет внутреннее исключение (`IndexError: index out of bounds on dimension 1`) вместо корректного отклонения некорректного DER (например, вызова `UnexpectedDER` или `ValueError`). Приложения, разбирающие непроверенные DER-приватные ключи, могут аварийно завершаться, если они не обрабатывают непредвиденные исключения, что приводит к отказу в обслуживании. Версия 0.19.2 исправляет эту проблему.
Источники
- CVE-2026-33936Исследования
Уязвимость типа «Отказ в обслуживании» в ecdsa (PyPI)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.