Into the symmetry

tl;dr Firefox and Java suffered from a moderate vulnerability affecting the elliptic curve point addition algorithm that uses mixed Jacobian-affine coordinates where it can yield a result POINT_AT_INFINITY when it should not. Introduction Few months ago I was working on a vulnerability affecting the internet standard JWE (slides here ) and I got a stroke of luck . Yuppieeee  Basically I was constructing the malicious JWEs needed for the Demo Attack . When something weird happened :S You can try and share with me the surprise I had, the gist is here If you try to execute this class with Java 1.7 you basically have Exception in thread "main" java.lang.IllegalStateException     at sun.security.ec.ECDHKeyAgreement.deriveKey(Native Method)     at sun.security.ec.ECDHKeyAgreement.engineGenerateSecret(ECDHKeyAgreement.java:130)     at javax.crypto.KeyAgreement.generateSecret(KeyAgreement.java:586)     at orig...

Disclaimer Questo blog post e' scritto da evariste.gal0is ed Antonio Sanso . Entrambi gli autori non hanno nessuna affiliazione politica ed il post ha l'unico scopo di fornire un'analisi tecnica di parte dei dump relativa alle password. Riassunto delle puntate precedenti In data 2 agosto 2017 uno dei coautori di questo blog post  ( evariste.gal0is ) ha segnalato Il sito Rousseau del M5S è vulnerabile, voti e dati personali degli iscritti sono tutti a rischio #Hack5Stelle https://t.co/7KPcFsXFhe — evariste.gal0is (@evaristegal0is) August 2, 2017 una severa vulnerabilita' (del tipo SQL injection ) che affligeva la piattaforma del Movimento Cinque Stelle chiamata Rousseau : https://rousseau.movimento5stelle.it/ . La sua segnalazione riceve una notevole copertura mediatica e minacce di querela da parte del  Movimento Cinque Stelle * (cosa che spinge  evariste.gal0is a prendere temporaneamente una pausa). Nel frattempo un black hat hacker che si fa chiama...