CVE-2026-44519
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W bibliotece liboqs funkcja ct_select w implementacji FrodoKEM (warianty AES i SHAKE) nie zawiera bariery wartości w ścieżce odrzucenia Fujisaki-Okamoto. Przy kompilacji Clang 17 lub nowszym z poziomem optymalizacji takim jak -Os kompilator może wygenerować warunkowe ładowanie zależne od sekretu, co pozwala odróżnić ścieżki sukcesu i odrzucenia po stanie pamięci podręcznej.
Ocena ryzyka
Lokalny atakujący mogący wielokrotnie mierzyć czasy dostępu do cache może wykorzystać ten wyciek jako wyrocznię w ataku na odzyskanie klucza prywatnego. Domyślne kompilacje -O3 nie wykazują tego zachowania.
Rekomendacja
Zaktualizuj liboqs do wersji 0.16.0 lub nowszej. Jeśli używasz Clang 17+ z poziomem -Os, zweryfikuj konfigurację kompilacji po aktualizacji.
Inne podatności w liboqs
Zobacz wszystkie- CVE-2026-47738Średnie
liboqs przed wersją 0.16.0 może wyłuskać niezainicjalizowany wskaźnik funkcji encaps_derand w OQS_KEM_encaps_derand dla sześciu schematów NTRU (NTRU-HPS-2048-509, NTRU-HPS-2048-677, NTRU-HPS-4096-821, NTRU-HPS-4096-1229, NTRU-HRSS-701, NTRU-HRSS-1373). Konstruktory tych schematów pomijają człon encaps_derand, a obiekty OQS_KEM są alokowane bez zerowania. Aplikacja jest podatna tylko jeśli używa jednego z tych sześciu KEM-ów NTRU i wywołuje na nim OQS_KEM_encaps_derand.
- CVE-2026-104254Średnie
W bibliotece liboqs od wersji 0.11.0 do 0.16.0 kompilacje z OQS_ENABLE_SIG_STFL_LMS=ON mogą odczytywać dane poza buforem podpisu dostarczonym przez wywołującego, gdy skrócony podpis LMS lub HSS-LMS trafi do OQS_SIG_STFL_verify lub OQS_SIG_STFL_alg_lms_verify. Funkcja hss_validate_signature_init() nie zapewnia dostępności pól q i C, co pozwala na odczyt do 32 bajtów poza buforem, a w wersji 0.16.0 is_hss_public_key() odczytuje pod offsetem 8 po sprawdzeniu tylko czterech bajtów długości.
- CVE-2026-46344Średnie
liboqs przed wersją 0.16.0 ma podatność odczytu poza zakresem w kodzie weryfikacji podpisów XMSS i XMSS^MT, co może prowadzić do awarii (odmowy usługi).
- CVE-2026-44518Średnie
W bibliotece kryptograficznej liboqs przed wersją 0.16.0 wykryto odczyt poza zakresem w kodzie weryfikacji podpisów XMSS i XMSS^MT. Gdy bufor podpisu jest krótszy niż oczekiwany rozmiar, implementacja nie sprawdza długości i odczytuje poza buforem, co może prowadzić do awarii (DoS).
Oryginalny opis (angielski, źródło NVD)
liboqs is a C-language cryptographic library that provides implementations of post-quantum cryptography algorithms. Prior to 0.16.0, the ct_select function in src/kem/frodokem/external/util.c for the FrodoKEM-640, FrodoKEM-976, and FrodoKEM-1344 AES and SHAKE reference variants lacks a value barrier in the Fujisaki-Okamoto implicit-rejection path. When compiled with Clang 17 or later at an affected optimization level such as -Os, the compiler can emit a secret-dependent conditional load, causing the real and rejection secret paths to leave distinguishable cache residency after successful and failed decapsulation. A local attacker able to perform repeated cache-timing measurements may use this oracle as part of a private-key recovery attack. Default -O3 builds vectorize both source loads and do not exhibit the reported behavior, and the advisory does not report the same generated memory-access pattern in NTRU, NTRU-Prime, BIKE, HQC, Classic McEliece, Kyber, or the already-barriered ML-KEM implementation. This issue is fixed in version 0.16.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS