SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-10097

WysokieCVSS 7.5
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Implementacja ML-KEM w bibliotece wolfSSL zoptymalizowana pod AVX2 porównuje tylko 1536 z 1568 bajtów szyfrogramu podczas sprawdzania ponownego szyfrowania Fujisaki-Okamoto w procesie deszyfrowania ML-KEM-1024. Szyfrogramy różniące się wyłącznie w bajtach 1536-1567 omijają domyślne odrzucenie i są akceptowane jako poprawne, co narusza bezpieczeństwo IND-CCA2.

Ocena ryzyka

Atakujący, który może przesyłać wybrane szyfrogramy do wyroczni deszyfrującej używającej statycznego klucza ML-KEM-1024 i obserwować, czy generowany jest prawdziwy wspólny sekret, czy sekret domyślnego odrzucenia, może wykorzystać to jako wyrocznię sprawdzającą tekst jawny do odzyskania klucza prywatnego. Dowód koncepcji odzyskał pełny klucz prywatny ML-KEM-1024 z około 98% skutecznością przy użyciu około 350 wybranych szyfrogramów.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę wolfSSL do wersji, w której poprawiono błąd w funkcji mlkem_cmp_avx2, aby porównywała wszystkie 1568 bajtów szyfrogramu. Do czasu aktualizacji zaleca się wyłączenie optymalizacji AVX2 dla ML-KEM-1024 lub użycie alternatywnej implementacji.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

wolfSSL's AVX2-optimized ML-KEM implementation (mlkem_cmp_avx2) compares only 1536 of the 1568 ciphertext bytes during the Fujisaki-Okamoto re-encryption check in ML-KEM-1024 decapsulation. Ciphertexts that differ from the expected re-encryption solely in bytes 1536-1567 bypass implicit rejection and are accepted as valid, breaking IND-CCA2 security. An attacker able to submit chosen ciphertexts to a decapsulation oracle that uses a static ML-KEM-1024 key, and to observe whether the genuine shared secret or the implicit-rejection secret was produced, can use this as a plaintext-checking oracle to recover the private key. A proof of concept recovered a full ML-KEM-1024 private key with approximately 98% success using roughly 350 chosen ciphertexts. The flaw is a deterministic logic error and does not rely on timing measurements.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS