CVE-2026-10097
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 — wyżej niż 5% wszystkich znanych CVE
Streszczenie
Implementacja ML-KEM w bibliotece wolfSSL zoptymalizowana pod AVX2 porównuje tylko 1536 z 1568 bajtów szyfrogramu podczas sprawdzania ponownego szyfrowania Fujisaki-Okamoto w procesie deszyfrowania ML-KEM-1024. Szyfrogramy różniące się wyłącznie w bajtach 1536-1567 omijają domyślne odrzucenie i są akceptowane jako poprawne, co narusza bezpieczeństwo IND-CCA2.
Ocena ryzyka
Atakujący, który może przesyłać wybrane szyfrogramy do wyroczni deszyfrującej używającej statycznego klucza ML-KEM-1024 i obserwować, czy generowany jest prawdziwy wspólny sekret, czy sekret domyślnego odrzucenia, może wykorzystać to jako wyrocznię sprawdzającą tekst jawny do odzyskania klucza prywatnego. Dowód koncepcji odzyskał pełny klucz prywatny ML-KEM-1024 z około 98% skutecznością przy użyciu około 350 wybranych szyfrogramów.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę wolfSSL do wersji, w której poprawiono błąd w funkcji mlkem_cmp_avx2, aby porównywała wszystkie 1568 bajtów szyfrogramu. Do czasu aktualizacji zaleca się wyłączenie optymalizacji AVX2 dla ML-KEM-1024 lub użycie alternatywnej implementacji.
Oryginalny opis (angielski, źródło NVD)
wolfSSL's AVX2-optimized ML-KEM implementation (mlkem_cmp_avx2) compares only 1536 of the 1568 ciphertext bytes during the Fujisaki-Okamoto re-encryption check in ML-KEM-1024 decapsulation. Ciphertexts that differ from the expected re-encryption solely in bytes 1536-1567 bypass implicit rejection and are accepted as valid, breaking IND-CCA2 security. An attacker able to submit chosen ciphertexts to a decapsulation oracle that uses a static ML-KEM-1024 key, and to observe whether the genuine shared secret or the implicit-rejection secret was produced, can use this as a plaintext-checking oracle to recover the private key. A proof of concept recovered a full ML-KEM-1024 private key with approximately 98% success using roughly 350 chosen ciphertexts. The flaw is a deterministic logic error and does not rely on timing measurements.