CVE-2026-54872
Açıklama
Sorun özeti: Özel bir uygulaması bulunmayan eğrilerle yapılan ECDSA ve SM2 imza işlemleri için kullanılan genel eliptik eğri skaler çarpımı, zamanlama üzerinden gizli nonce hakkında bilgi sızdırmaktadır. Etki özeti: İmzalama sürelerini ölçebilen bir saldırgan, her imzaya özel gizli nonce hakkında bilgi edinebilir; bu durum birçok imza üzerinden, bir kafes / Gizli Sayı Problemi (Hidden Number Problem) saldırısı aracılığıyla özel anahtarın geri kazanılmasına yol açabilir. CWE: CWE-208: Gözlemlenebilir Zamanlama Farklılığı Açıklama: Özel bir sabit zamanlı uygulaması olmayan eğriler için kullanılan genel eliptik eğri skaler çarpımı, gizli skaler değerini sabit zamanlı olmayan BIGNUM işlemleriyle doldurmaktadır; bu nedenle geçen süre, ECDSA ve SM2 nonce'undan türetilen gizli skalerin değerine bağlıdır. Sızıntı çok küçüktür; bunu gözlemlemek çok sayıda ölçüm gerektirir. Etki, grup sırası makine sözcük sınırında yer alan brainpoolP384r1 gibi eğriler için en yüksektir. Brainpool ve diğer genel asal eğriler üzerinde ECDSA imzalama kullanan uygulamalar ile genel uygulamayı kullanan platformlarda SM2 imzalama yapan uygulamalar bu soruna karşı savunmasızdır. NIST eğrileri P-256, P-384 ve P-521 özel sabit zamanlı uygulamalar kullanır ve etkilenmezler. FIPS Etkisi: hayır FIPS modülleri etkilenmemiştir: FIPS sağlayıcısında kullanılan onaylı NIST eğrileri özel sabit zamanlı uygulamalara sahiptir ve etkilenen kod yolunu kullanmazlar.
Nasıl düzeltilir
- openssl openssl1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openssl openssl | 1.0.2 ≤ v < 1.0.2zs, 1.1.1 ≤ v < 1.1.1zj, 3.0.0 ≤ v < 3.0.23, 3.4.0 ≤ v < 3.4.8, 3.5.0 ≤ v < 3.5.9, 3.6.0 ≤ v < 3.6.5, 4.0.0 ≤ v < 4.0.3 | 1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.