远程 Debian 10/11 主机上安装的一个程序包受到 dsa-5132 公告中提及的一个漏洞影响。

  - ecdsautils 是用于 ECDSA（密钥生成、签名、验证）的小型程序集合。
    `ecdsa_verify_[prepare_]legacy()` 不检查签名值 `r` 和 `s` 是否非零。仅包含零的签名始终被视为有效，因此伪造签名很容易。
    要求提供来自不同公钥的多个签名并不能缓解此问题：
    `ecdsa_verify_list_legacy()` 将接受任意数量的此类伪造签名。`ecdsautil verify` CLI 命令和 libecdsautil 库都会受到影响。已在 ecdsautils 0.4.1 中修复此问题。所有旧版 ecdsautils（包括拆分为程序库和 CLI 实用工具之前的版本）都容易受此漏洞影响。(CVE-2022-24884)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DSA-5132-1：ecdsautils - 安全更新

high Nessus 插件 ID 160846

未找到变更日志