CVE-2024-14041
Təsvir
Java üçün Bouncy Castle-ın 1.73 versiyasından 1.78 versiyasına qədər olan hissəsində üç ML-KEM (CRYSTALS-Kyber) rutini gizli məlumatdan törəmiş çoxhədlili əmsallarını modul q-ya bölürdü: şifrəsi açılmış mesajı dekodlaşdıran Poly.toMsg və şifrəli mətnin sıxılma rutinləri olan Poly.compressPoly və PolyVec.compressPolyVec. Eyni uzunmüddətli gizli açarla həyata keçirilən çox sayda dekapsulyasiyanın vaxtını ölçə bilən hücumçu həmin açarı bərpa edə bilər. Bunlar KyberSlash1 (Poly.toMsg) və KyberSlash2 (şifrəli mətnin sıxılması) bölmələridir. Enkapsulyasiya zamanı yerinə yetirilən sıxılma, ictimai şifrəli mətnə çevrilən dəyərlər üzərində əməliyyat aparır və buna təsir etmir.
Necə düzəltmək olar
- bouncycastle bc-java1.78 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| bouncycastle bc-java | 1.73 ≤ v < 1.78 | 1.78 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.