CVE-2026-54872
Təsvir
Problemin xülasəsi: Xüsusi tətbiqi olmayan əyrilər ilə ECDSA və SM2 imza əməliyyatları üçün istifadə olunan ümumi elliptik əyrilər skalyar vurulması, zamanlama vasitəsilə gizli nonce haqqında məlumat sızdırır. Təsirin xülasəsi: İmzalama müddətini ölçə bilən hücumçu hər bir imza üçün olan gizli nonce haqqında məlumat əldə edə bilər ki, bu da çox sayda imza ərzində owncəlik (lattice) / Gizli Ədəd Problemi (Hidden Number Problem) hücumu vasitəsilə şəxsi açarın bərpasına səbəb ola bilər. CWE: CWE-208: Observable Timing Discrepancy Təsvir: Sabit zamanlı xüsusi tətbiqi olmayan əyrilər üçün istifadə olunan ümumi elliptik əyrilər skalyar vurulması, gizli skalyarı sabit zamanlı olmayan BIGNUM əməliyyatları ilə tamamlayır, buna görə də sərf olunan vaxt ECDSA və SM2 nonce-dan törəmiş gizli skalyarın dəyərindən asılı olur. Sızıntı çox kiçikdir; onu müşahidə etmək üçün böyük sayda ölçüm tələb olunur. Effekt, qrup sırası maşın sözü sərhədində yerləşən brainpoolP384r1 kimi əyrilər üçün daha yüksəkdir. Brainpool və digər ümumi sadə əyrilər üzərindən ECDSA imzalamasından və ümumi tətbiqdən istifadə edən platformalarda SM2 imzalamasından istifadə edən tətbiqlər bu problemə qarşı həssasdır. NIST əyriləri P-256, P-384 və P-521 xüsusi sabit zamanlı tətbiqlərdən istifadə edir və onlara təsir göstərmir. FIPS Təsiri: yox FIPS modullarına təsir göstərmir: FIPS provayderində istifadə olunan təsdiqlənmiş NIST əyrilərinin xüsusi sabit zamanlı tətbiqləri var və onlar təsirlənmiş kod yolundan istifadə etmir.
Necə düzəltmək olar
- openssl openssl1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openssl openssl | 1.0.2 ≤ v < 1.0.2zs, 1.1.1 ≤ v < 1.1.1zj, 3.0.0 ≤ v < 3.0.23, 3.4.0 ≤ v < 3.4.8, 3.5.0 ≤ v < 3.5.9, 3.6.0 ≤ v < 3.6.5, 4.0.0 ≤ v < 4.0.3 | 1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.