nettle
En bref
- Source
- NVD
- EPSS
- EPSS 1.73 % · centile 78 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- redhat
- Statut NVD
- Modified
Rechercher sur…
Description
A flaw was found in Nettle in versions before 3.7.2, where several Nettle signature verification functions (GOST DSA, EDDSA & ECDSA) result in the Elliptic Curve Cryptography point (ECC) multiply function being called with out-of-range scalers, possibly resulting in incorrect results. This flaw allows an attacker to force an invalid signature, causing an assertion failure or possible validation. The highest threat to this vulnerability is to confidentiality, integrity, as well as system availability.
Faiblesses (CWE)
- CWE-327 — Utilisation d'un algorithme cryptographique cassé ou risqué
- CWE-787 — Écriture hors limites
Références
- https://bugzilla.redhat.com/show_bug.cgi?id=1942533
- https://security.gentoo.org/glsa/202105-31
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MQKWVVMAIDAJ7YAA3VVO32BHLDOH2E63/
- https://www.debian.org/security/2021/dsa-4933
- https://lists.debian.org/debian-lts-announce/2021/09/msg00008.html
- https://security.netapp.com/advisory/ntap-20211022-0002/
- https://cert-portal.siemens.com/productcert/html/ssa-398330.html
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | HIGH 8.1 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H | NVD · nvd@nist.gov (Primary) |
| CVSS 2.0 | MEDIUM 6.8 | AV:N/AC:M/Au:N/C:P/I:P/A:P | NVD · nvd@nist.gov (Primary) |
Références européennes
- ENISA EUVD · EUVD-2021-7730
- GCVE · GCVE-0-2021-20305
Avis du CERT-FR
- CERTFR-2025-AVI-0582 — Multiples vulnérabilités dans les produits Palo Alto Networks · cert.ssi.gouv.fr
- CERTFR-2023-AVI-1015 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
- CERTFR-2021-AVI-850 — Multiples vulnérabilités dans IBM QRadar · cert.ssi.gouv.fr
- CERTFR-2021-AVI-791 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2021-AVI-638 — Multiples vulnérabilités dans Juniper Junos Space · cert.ssi.gouv.fr
- CERTFR-2021-AVI-589 — Multiples vulnérabilités dans Juniper Junos Space Log Collector · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:nettle_project:nettle:*:*:*:*:*:*:*:*< 3.7.2cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*cpe:2.3:o:redhat:enterprise_linux:7.0:*:*:*:*:*:*:*cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:*cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
Produits affectés
| Produit | Versions |
|---|---|
| nettle | affected nettle 3.7.2 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |