CVE-2023-6935
Açıklama
wolfSSL SP Math All RSA uygulaması, aşağıdaki yapılandırma seçenekleriyle derlendiğinde, zamanlama tabanlı bir Bleichenbacher saldırısının yeni bir varyasyonu olan Marvin Attack'a karşı savunmasızdır: --enable-all CFLAGS="-DWOLFSSL_STATIC_RSA" “WOLFSSL_STATIC_RSA” tanımı, önerilmeyen statik RSA şifreleme paketlerini etkinleştirir ve wolfSSL 3.6.6 sürümünden beri varsayılan olarak devre dışı bırakılmıştır. Bu nedenle, 3.6.6 sürümünden itibaren yapılan varsayılan derlemeler, "--enable-all" seçeneği kullanılsa bile Marvin Attack'a karşı savunmasız değildir. Zafiyet statik RSA şifreleme paketlerine özgüdür ve dolgu yönteminden bağımsız olması beklenmektedir. Zafiyet, çok sayıda test gözlemiyle inceleme yaptıktan sonra bir saldırganın şifreli metinleri çözmesine ve imzaları taklit etmesine olanak tanır. Ancak sunucunun özel anahtarı açığa çıkmaz.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wolfssl wolfssl | 3.12.2 ≤ v ≤ 5.6.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.