CVE-2026-42768

Sorun özeti: Bir saldırganın CMS veya S/MIME mesajları sağlayabildiği ve hata kodunu ve/veya şifre çözme çıktısını gözlemleyebildiği durumlarda, CMS_decrypt ve PKCS7_decrypt fonksiyonları Bleichenbacher tarzı saldırılara karşı savunmasızdır. Etki özeti: Bleichenbacher tarzı saldırı, bir saldırganın kurbanın savunmasız uygulamasını, mesajları kurbanın özel RSA anahtarı ile şifresini çözmek veya imzalamak için bir yol olarak kullanmasına olanak tanır. Saldırı iki varyantta mümkündür. 1. Şifre çözme API'si (CMS_decrypt(), PKCS7_decrypt()), alıcı sertifikası sağlanmadan kullanılır. Bu durumda OpenSSL, ilk başarıda durmaksızın her KeyTransRecipientInfo (KTRI) üzerinde döngü kurar. İki KTRI girişi içeren bir mesaj hazırlayan —birincisi gerçek bir CEK'i kurbanın genel anahtarı altında saran, ikincisi ise rastgele bir deneme şifreli metni içeren— bir saldırgan, eğer uygulamanın hata kodu mevcutsa, geçerli bir PKCS#1 v1.5 dolgusuna ulaşmak için ikinci KTRI'yi yineleme fırsatı elde eder. Bu bir Bleichenbacher oraclesıdır (Bleichenbacher, CRYPTO '98): Saldırganın herhangi bir RSA şifreli metnini kurbanın anahtarıyla şifresini çözdüğü veya onun adına herhangi bir PKCS#1 v1.5 imzasını taklit ettiği adaptif seçilmiş şifreli metin yan kanal saldırısıdır. 2. Şifre çözme API'sine (CMS_decrypt(), PKCS7_decrypt()) alıcı sertifikası sağlandığında ve alıcı bulunamadığında, yerine rastgele bir anahtar atanır. Bir mesaj hazırlayan ve hem hata kodunu hem de şifre çözme sonucunu karşılaştırabilen bir saldırgan, bir Bleichenbacher oracle kurulumu gerçekleştirebilir. Uzak bir saldırgana bu senaryolarda açıklanan bir saldırıyı gerçekleştirme fırsatı veren herhangi bir uygulama bildiğimiz mevcut değildir. Böyle bir uygulamanın varlığını çok düşük bir ihtimal olarak görüyoruz ve bu nedenle bu CVE Düşük (Low) şiddet seviyesinde değerlendirilmiştir. Bu saldırıları önlemek için, RSA PKCS#1 v1.5 Anahtar Taşıma kullanıldığında, çağrılan EVP_PKEY_decrypt() fonksiyonu draft-irtf-cfrg-rsa-guidance içinde açıklanan örtük reddetme (implicit rejection) mekanizmasını kullanacaktır. Önceki OpenSSL sürümlerinde örtük reddetme açıkça devre dışı bırakılmıştı. Örtük reddetme mekanizması her zaman düz metin bir değer, yani simetrik anahtar döndürür. Bu sonuç, şifreli metin ve özel anahtar için deterministiktir. Şifre çözme sonucunun uzunluğu, içerik şifrelemesi için kullanılan simetrik şifrenin anahtar uzunluğuyla eşleşebilir. Sertifika sağlanmadığında, geçerli görünen bir anahtar üreten son RecipientInfo kullanılacaktır. Bu durum, şifre çözme sırasında anlamsız içerikler alınmasına neden olabilir. Bununla başa çıkmanın doğru yolu, şifre çözme işlemi için belirli RecipientInfo'yu tanımlamak amacıyla bir alıcı sertifikasının sağlanmasıdır. CMS ve S/MIME işlemleri OpenSSL FIPS modül sınırının dışında gerçekleştiği için 4.0, 3.6, 3.5 ve 3.4 sürümlerindeki FIPS modülleri bu sorundan etkilenmemektedir.