Dmitry Belyavskiy

تتعرض الدالتان `CMS decrypt()` و`PKCS7 decrypt()` لهجوم من نوع Bleichenbacher، وهو قناة جانبية تعتمد على اختيار النص المشفر التكيفي. وهذا يسمح للمهاجم باستخدام تطبيق معرض للخطر لفك تشفير الرسائل أو توقيعها باستخدام مفتاح RSA الخاص بالضحية. تحدث هذه المشكلة في حالتين: أولاً، عند استخدام واجهة برمجة تطبيقات (API) فك التشفير دون شهادة مستلم، يقوم OpenSSL بالتكرار عبر كل `KeyTransRecipientInfo` (KTRI) دون التوقف عند أول محاولة ناجحة؛ ثانياً، عند توفير شهادة مستلم ولكن لم يتم العثور على المستلم، يتم استبدالها بمفتاح عشوائي. في كلتا الحالتين، إذا تمكن المهاجم من مراقبة رموز الأخطاء أو ناتج فك التشفير، فيمكنه إنشاء «أوراكل» لفك تشفير النصوص المشفرة بـ RSA أو تزوير توقيعات PKCS#1 v1.5.

تتعامل عمليات تنفيذ خوارزميات AES-SIV وAES-GCM-SIV بشكل خاطئ مع مصادقة «البيانات المصادق عليها الإضافية» (AAD) عندما يكون النص المشفر فارغًا، مما يسمح بتزوير مثل هذه الرسائل. في تطبيق مزود الخدمة لهذه الخوارزميات التشفيرية، لا يتم حساب العلامة المتوقعة إلا عند استدعاء دالة فك التشفير ببيانات غير فارغة. إذا قدم المستدعي بيانات AAD ثم استدعى الدالة `EVP DecryptFinal ex()` دون تحديث النص المشفر (وهو ما يحدث عندما يكون طول النص المشفر المستلم صفرًا)، فلا يتم إعادة حساب العلامة وتظل قيمتها عبارة عن أصفار فقط. وبالتالي، بالنسبة لـ AES-GCM-SIV، يمكن للمهاجم اجتياز المصادقة باستخدام AAD عشوائي، ونص مشفر فارغ، وعلامة مكونة من أصفار فقط دون معرفة المفتاح. بالنسبة لـ AES-SIV، يتطلب الهجوم أن يعيد التطبيق استخدام سياق فك التشفير دون إعادة تعيين المفتاح.