CVE-2026-32614
Açıklama
Go ShangMi (Commercial Cryptography) Library (GMSM), Çin ticari kriptografik genel algoritmaları olan SM2/SM3/SM4/SM9/ZUC'yi kapsayan bir kriptografik kütüphanedir. 0.41.1 sürümünden önce, mevcut SM9 şifre çözme uygulaması bir sonsuz nokta şifreli metin sahteciliği zafiyeti içermektedir. Temel neden, şifre çözme sırasında şifreli metindeki eliptik eğri noktası C1'in yalnızca serileştirmesinin çözülmesi ve eğri üzerinde olduğunun kontrol edilmesidir; ancak uygulama, sonsuzluk noktasını açıkça reddetmemektedir. Mevcut uygulamada, bir saldırgan C1'i sonsuzluk noktası olarak oluşturarak bilinear eşleşme sonucunun GT grubundaki birim elemana dönüşmesine neden olabilir. Sonuç olarak, anahtar türetme girdisinin kritik bir kısmı öngörülebilir bir sabit haline gelir. Yalnızca hedef kullanıcının UID bilgisini bilen bir saldırgan, şifre çözme anahtar materyalini türetebilir ve ardından bütünlük kontrolünden geçen sahte bir şifreli metin oluşturabilir. Bu zafiyet 0.41.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/emmansun/gmsm0.41.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/emmansun/gmsmGo | v < 0.41.1 | 0.41.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.