CVE-2025-8556

NiskieCVSS 3.7

Opublikowano: 06/08/2025(UTC)Zaktualizowano: 27/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.53%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

W implementacji krzywej eliptycznej FourQ w CIRCL wykryto lukę. Umożliwia ona atakującemu naruszenie bezpieczeństwa sesji poprzez wstrzyknięcie punktu niskiego rzędu i nieprawidłową walidację punktów podczas wymiany kluczy Diffiego-Hellmana.

Ocena ryzyka

Atakujący może zagrozić poufności sesji i potencjalnie odzyskać informacje o kluczach. Ryzyko dotyczy systemów wykorzystujących tę implementację do wymiany kluczy.

Rekomendacja

Zaktualizuj bibliotekę CIRCL do wersji zawierającej poprawkę. Zweryfikuj, czy aplikacje korzystające z FourQ stosują prawidłową walidację punktów.

Inne podatności w CIRCL

CVE-2026-1229Krytyczne
Funkcja CombinedMult w pakiecie CIRCL ecc/p384 (krzywa secp384r1) zwraca nieprawidłową wartość dla określonych danych wejściowych. Problem naprawiono poprzez zastosowanie kompletnych formuł dodawania. ECDH i podpisywanie ECDSA korzystające z tej krzywej nie są zagrożone. Błąd naprawiono w wersji v1.6.3.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in CIRCL's implementation of the FourQ elliptic curve. This vulnerability allows an attacker to compromise session security via low-order point injection and incorrect point validation during Diffie-Hellman key exchange.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS