CVE-2026-6291
Açıklama
PKCS#7 KTRI şifre çözme işleminde Bleichenbacher dolgu oraklağı (padding oracle). RSA PKCS#1 v1.5 anahtar taşımasını kullanarak PKCS#7 EnvelopedData şifresi çözülürken, wolfSSL; RSA dolgu doğrulamasının başarısız olmasına veya şifresi çözülen içeriğin hatalı biçimlendirilmiş olmasına bağlı olarak ayırt edilebilir hata kodları döndürmekteydi. Özel olarak hazırlanmış EnvelopedData mesajları gönderebilen ve hata yanıtlarını gözlemleyebilen bir saldırgan, bunu şifrelenmiş İçerik Şifreleme Anahtarını (CEK) kademeli olarak geri elde etmek için bir dolgu oraklağı olarak kullanabilirdi. Düzeltme, dolgu hatası durumunda (HMAC-SHA256 aracılığıyla) deterministik bir sözde rastgele sahte CEK oluşturur ve tüm süreç boyunca sabit zamanlı işlemler kullanarak şifre çözme işlemine aynı şekilde devam eder; böylece tüm hata yolları, dolgu geçerliliğinden bağımsız olarak aynı hatayı üretir.
Nasıl düzeltilir
- wolfssl wolfssl5.9.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wolfssl wolfssl | 3.9.10 ≤ v < 5.9.2 | 5.9.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.