CVE-2026-1229

KrytyczneCVSS 9.8

Opublikowano: 24/02/2026(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Streszczenie

Funkcja CombinedMult w pakiecie CIRCL ecc/p384 (krzywa secp384r1) zwraca nieprawidłową wartość dla określonych danych wejściowych. Problem naprawiono poprzez zastosowanie kompletnych formuł dodawania. ECDH i podpisywanie ECDSA korzystające z tej krzywej nie są zagrożone. Błąd naprawiono w wersji v1.6.3.

Ocena ryzyka

Nieprawidłowe wyniki funkcji CombinedMult mogą prowadzić do błędnych obliczeń kryptograficznych w aplikacjach, które bezpośrednio ją wykorzystują. ECDH i ECDSA nie są dotknięte, więc ryzyko dla typowych zastosowań TLS jest ograniczone.

Rekomendacja

Zaktualizuj pakiet CIRCL do wersji v1.6.3 lub nowszej. Sprawdź, czy aplikacja nie wywołuje bezpośrednio funkcji CombinedMult.

Inne podatności w CIRCL

CVE-2025-8556Niskie
W implementacji krzywej eliptycznej FourQ w CIRCL wykryto lukę. Umożliwia ona atakującemu naruszenie bezpieczeństwa sesji poprzez wstrzyknięcie punktu niskiego rzędu i nieprawidłową walidację punktów podczas wymiany kluczy Diffiego-Hellmana.

Oryginalny opis (angielski, źródło NVD)

The CombinedMult function in the CIRCL ecc/p384 package (secp384r1 curve) produces an incorrect value for specific inputs. The issue is fixed by using complete addition formulas. ECDH and ECDSA signing relying on this curve are not affected. The bug was fixed in v1.6.3 https://github.com/cloudflare/circl/releases/tag/v1.6.3 .

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS