CVE-2026-77696
Açıklama
Sorun özeti: SM2 imza oluşturma işlemi, gizli değerler üzerinde sabit zamanlı olmayan aritmetik kullanmakta ve bu durum bir zamanlama yan kanal saldırısına yol açmaktadır. Etki özeti: SM2 imzalama sürelerini ölçebilen bir saldırgan, her imzaya özel gizli nonce hakkında bilgi edinebilir; bu durum birçok imza üzerinden, bir kafes / Gizli Sayı Problemi (Hidden Number Problem) saldırısı aracılığıyla özel anahtarın geri elde edilmesine yol açabilir. CWE: CWE-208: Gözlemlenebilir Zamanlama Farklılığı Açıklama: SM2 imza oluşturma işlemi, imza değerini gizli nonce ve özel anahtar üzerinde değişken zamanlı BIGNUM işlemleri kullanarak hesaplar; bu nedenle bir SM2 imzası üretmek için geçen süre bu gizli değerlere bağlıdır ve bir zamanlama yan kanalı oluşturur. SM2 imza oluşturma işlemi gerçekleştiren uygulamalar tüm platformlarda etkilenmektedir. FIPS Etkisi: hayır SM2 bir FIPS algoritması değildir.
Nasıl düzeltilir
- openssl openssl1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openssl openssl | 1.1.1 ≤ v < 1.1.1zj, 3.0.0 ≤ v < 3.0.23, 3.4.0 ≤ v < 3.4.8, 3.5.0 ≤ v < 3.5.9, 3.6.0 ≤ v < 3.6.5, 4.0.0 ≤ v < 4.0.3 | 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5, 4.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.