CVE-2016-1000339
Açıklama
Bouncy Castle JCE Provider sürüm 1.55 ve öncesinde, AES için kullanılan birincil motor sınıfı AESFastEngine idi. Algoritmada kullanılan yoğun tablo tabanlı yaklaşım nedeniyle, CPU üzerindeki veri kanalı izlenebilirse, arama tablosu erişimlerinin kullanılan AES anahtarı hakkında bilgi sızdırmak için yeterli olduğu ortaya çıkmıştır. AESEngine'de de önemli ölçüde daha az olmakla birlikte bir sızıntı mevcuttu. AESEngine, herhangi bir sızıntı belirtisini gidermek için değiştirilmiştir (testler Intel X86-64 üzerinde gerçekleştirilmiştir) ve 1.56 sürümünden itibaren BC JCE sağlayıcısı için birincil AES sınıfıdır. AESFastEngine kullanımı artık yalnızca uygun görüldüğü durumlarda önerilmektedir.
Nasıl düzeltilir
- org.bouncycastle:bcprov-jdk141.56 ya da sonraki bir sürüm
- org.bouncycastle:bcprov-jdk151.56 ya da sonraki bir sürüm
- org.bouncycastle:bcprov-jdk15on1.56 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bouncycastle bc-java | v ≤ 1.55 | — |
| debian debian_linux | 8.0 | — |
| org.bouncycastle:bcprov-jdk14Maven | v < 1.56 | 1.56 |
| org.bouncycastle:bcprov-jdk15Maven | v < 1.56 | 1.56 |
| org.bouncycastle:bcprov-jdk15onMaven | v < 1.56 | 1.56 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.