CVE-2026-54875

Problemin xülasəsi: ARM64 və RISC-V platformalarında SM2 gizli açar əməliyyatları üçün sabit zamanlı olmayan optimallaşdırılmış skalyar nöqtə vurma tətbiqi istifadə olunur. Təsirin xülasəsi: Təsirə məruz qalan platformada SM2 imzalama və ya şifrəaçma prosesinin nə qədər vaxt aldığını ölçə bilən və ya keş-sətir giriş nümunələrini müşahidə edə bilən hücumçu, gizli skalyar haqqında məlumat əldə edə bilər. CWE: CWE-208: Observable Timing Discrepancy Təsvir: ARM64 və RISC-V prosessorlarında SM2 əyrisi, şərti budaqlanmaları və cədvəl axtarışları gizli skalyarın bitlərinə uyğun seçilən optimallaşdırılmış skalyar vurma tətbiqindən istifadə edir. Buna görə də, icra vaxtı və keş-giriş nümunələri uzunmüddətli gizli açardan (SM2 şifrəaçma zamanı) və ya hər imza üçün təyin olunan nonce-dan (SM2 imzasının yaradılması zamanı) asılıdir ki, bu da zamanlama və keş yan kanalını formalaşdırır. FIPS Təsiri: yox SM2 FIPS alqoritmi deyil və optimallaşdırılmış SM2 tətbiqi FIPS modulunun hissəsi deyildir. OpenSSL 4.0, 3.6, 3.5 və 3.4 versiyaları AArch64 və RISC-V platformalarında bu problemə qarşı həssasdır. OpenSSL 3.0, 1.1.1 və 1.0.2 versiyalarına bu problem təsir etmir. OpenSSL 4.0 istifadəçiləri OpenSSL 4.0.3 versiyasına yüksəltməli olduqları tövsiyə edilir. OpenSSL 3.6 istifadəçiləri OpenSSL 3.6.5 versiyasına yüksəltməli olduqları tövsiyə edilir. OpenSSL 3.5 istifadəçiləri OpenSSL 3.5.9 versiyasına yüksəltməli olduqları tövsiyə edilir. OpenSSL 3.4 istifadəçiləri OpenSSL 3.4.8 versiyasına yüksəltməli olduqları tövsiyə edilir. Bu problem 2 may 2026-cı il tarixində Abhinav Agarwal tərəfindən bildirilmişdir. Həmçinin 6 iyun 2026-cı il tarixində müstəqil olaraq Feng Xue tərəfindən bildirilmişdir. Düzəliş Igor Ustinov tərəfindən hazırlanmışdır.