CVE-2026-32614

Go ShangMi (Commercial Cryptography) Library (GMSM), Çinin kommersiya kriptoqrafik ictimai alqoritmləri olan SM2/SM3/SM4/SM9/ZUC-u əhatə edən kriptoqrafik kitabxanadır. 0.41.1 versiyasından əvvəlki mövcud SM9 şifrəaçma tətbiqi sonsuz nöqtəli şifrəli mətn saxtakarlığı zəifliyini ehtiva edir. Bunun kök səbəbi odur ki, şifrəaçma zamanı şifrəli mətndəki elliptik əyri nöqtəsi C1 yalnız deserializasiya edilir və əyrinin üzərində olduğu yoxlanılır, lakin tətbiq sonsuzluq nöqtəsini açıq şəkildə rədd etmir. Mövcud tətbiqdə hücumçu C1-i sonsuzluq nöqtəsi kimi konstruksiya edə bilər ki, bu da bilinər pairing nəticəsinin GT qrupundakı identikliq elementinə çevrilməsinə səbəb olur. Nəticədə, açarın törədilməsi girişinin kritik hissəsi proqnozlaşdırıla bilən sabitə çevrilir. Yalnız hədəf istifadəçinin UID-ni bilən hücumçu şifrəaçma açarı materialını törədə və daha sonra bütövlük yoxlamasından keçən saxta şifrəli mətn yarada bilər. Bu zəiflik 0.41.1 versiyasında aradan qaldırılıb.