Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-46542 medium CVSS 4.3

Vulnérabilité dans nimiq-keys (CVE-2026-46542)

Résumé

Vulnérabilité dans nimiq-keys (CVE-2026-46542). Risque d'opérations non autorisées ou de divulgation. Exploitable via Ed25519PublicKey. Atténuation : mise à jour vers 1.4.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

A denial-of-service vulnerability exists in the Ed25519 multisig delinearization code path. Ed25519PublicKey::delinearize() in keys/src/multisig/mod.rs called .unwrap() on curve point decompression, which panics when a public key is
constructed from 32 bytes that do not represent a valid point on the Ed25519 curve. Ed25519PublicKey construction only validates byte length, not curve membership, so invalid keys can reach the delinearization path and crash the
hosting process.

A secondary panic existed in Commitment::From<[u8; 32]>, which similarly called .unwrap() on a failing curve point decompression.

Who is affected: Browser and desktop wallet users of the web-client WASM library and the nimiq-wallet crate, when initiating a multisig operation with an attacker-supplied public key. An attacker must convince the user to include
a crafted public key in a multisig setup — this is not a remotely triggerable node/validator crash.

Who is NOT affected: Validator nodes, consensus, blockchain, mempool, and networking code. There is no on-chain multisig account type; multisig is a purely client-side construct, and no validator/consensus code calls the multisig delinearization path.

Patches

See PR.

Workarounds

No code-level workaround exists short of the patch. Users of wallet applications can mitigate exposure by only performing multisig operations with public keys received from tr…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-46542 a été découverte dans nimiq-keys.
Des attaquants peuvent cibler un point d'entrée spécifique comme Ed25519PublicKey à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.3/10.
Action : mettez à jour nimiq-keys vers 1.4.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « nimiq-keys CVE-2026-46542 » sur le site de l'éditeur.

CVE-2026-46542 (nimiq-keys) — CWE-617 / CVSS v3 4.3
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : Ed25519PublicKey
Correctif : 1.4.0 — appliquer immédiatement
Contournement : No code-level workaround exists short of the patch.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-617) affecte nimiq-keys. Les attaquants atteignent le code vulnérable via Ed25519PublicKey sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de nimiq-keys. Surface d'attaque : Ed25519PublicKey.

🔥 Gravité

Gravité : Moyenne (CVSS 4.3/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 1.4.0.

🛡️ Contournement

Contournement : No code-level workaround exists short of the patch.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'nimiq-keys' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で nimiq-keys を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply temporary workaround mitigate 
    No code-level workaround exists short of the patch.

    パッチが適用されるまでの応急処置として、No code-level workaround exists short of the patch. を実施。回避策の副作用 (機能低下) を確認した上で。

  3. 3
    Apply patch patch 
    Upgrade nimiq-keys to 1.4.0

    ステージング環境で 1.4.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  4. 4
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

rust nimiq-keys
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.4.0"}]}]
crates.io nimiq-keys
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"1.4.0"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus