Igor Ustinov

Generic elliptic-curve scalar multiplication used for ECDSA and SM2 signature operations leaks information about the secret nonce through timing discrepancies. This occurs because curves without a dedicated constant-time implementation use BIGNUM operations that vary in execution time based on the value of the secret scalar. An attacker capable of measuring signing times across many signatures could potentially recover the private key using a lattice or Hidden Number Problem attack. This issue primarily affects applications using SM2 signing or ECDSA signing over Brainpool and other generic prime curves, particularly those whose group order lies on a machine-word boundary, such as brainpoolP384r1.

On ARM64 and RISC-V platforms, the SM2 curve utilizes a scalar multiplication implementation that is not constant-time. Because conditional branches and table lookups are determined by the bits of the secret scalar, the execution time and cache-access patterns depend on the long-term private key during decryption or the per-signature nonce during signature generation. This creates a timing and cache side-channel that allows an attacker to learn information about the secret scalar.

SM2 signature generation uses non-constant-time arithmetic on secret values, creating a timing side-channel. The process computes the signature value using variable-time BIGNUM operations on the private key and the secret nonce, meaning the time required to produce a signature depends on these secret values. An attacker capable of measuring signing times may obtain information about the per-signature secret nonce, which could lead to the recovery of the private key through a lattice or Hidden Number Problem attack.

قد يحدث استدعاء مؤشر NULL أثناء فك تشفير رسائل «صياغة الرسائل التشفيرية» (CMS) المشفرة بكلمة مرور. تنشأ هذه المشكلة لأن تطبيق OpenSSL لـ CMS يقوم بإلغاء مرجعية الحقل `PasswordRecipientInfo.keyDerivationAlgorithm` دون التحقق من وجوده، على الرغم من أنه محدد كخيار اختياري في مواصفات ASN.1. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال رسالة CMS مصممة خصيصًا لهذا الغرض، مما يتسبب في تعطل التطبيق ويؤدي إلى حدوث هجوم رفض الخدمة (DoS).

قد يحدث استدعاء مؤشر NULL في تطبيق عميل CMP عند معالجة استجابة CMP مُصممة خصيصًا. يمكن للمهاجم الذي يتحكم في خادم CMP أو الذي يتصرف كوسيط (man-in-the-middle) إرسال رسالة CRMF CertRepMessage تحتوي على بنية EncryptedValue حيث يتضمن الحقل `symmAlg` معرف OID للخوارزمية ولكنه يفتقر إلى حقل المعلمات. يؤدي هذا إلى تعطل التطبيق وحالة رفض الخدمة (DoS). تؤثر هذه المشكلة على التطبيقات التي تعالج رسائل CMP/CRMF غير الموثوق بها.

تحدث حالة ”الاستخدام بعد التحرير“ (use-after-free) أثناء التحقق من التوقيع PKCS#7 عند معالجة رسالة موقعة بـ PKCS#7 أو S/MIME مصممة خصيصًا. إذا كان حقل `SignedData` `digestAlgorithms` موجودًا كمجموعة ASN.1 فارغة (SET)، فقد تقوم الدالة `PKCS7 verify()` بتحرير BIO (تجريد الإدخال/الإخراج الأساسي) مملوك للمتصل بشكل غير صحيح. وتؤدي أي محاولة لاحقة من قبل التطبيق لاستخدام أو تحرير هذا الكائن BIO عبر الدالة `BIO free()` إلى تلف الذاكرة، أو تعطل العملية، أو احتمال تنفيذ تعليمات برمجية عن بُعد. تؤثر هذه المشكلة على التطبيقات التي تستخدم واجهات برمجة تطبيقات (APIs) OpenSSL PKCS#7، في حين أن التطبيقات التي تستخدم واجهات برمجة تطبيقات CMS لا تتأثر بها. لا تتأثر وحدات FIPS في الإصدارات 4.0 و3.6 و3.5 و3.4 و3.0 لأن الكود المتأثر يقع خارج حدود وحدة FIPS.

يؤدي تحويل قيمة OCTET STRING كبيرة جدًّا إلى سلسلة سداسية عشرية إلى حدوث تجاوز سعة المخزن المؤقت (heap buffer overflow) على الأنظمة ذات 32 بت. يحدث هذا عندما تحتوي شهادة X.509 مصممة خصيصًا على قيمة OCTET STRING كبيرة جدًا في الامتدادات مثل معرّف مفتاح الموضوع (SKID) أو معرّف مفتاح السلطة (AKID). يحسب النظام حجم المخزن المؤقت المطلوب بضرب طول المدخلات في 3، مما قد يؤدي إلى تجاوز سعة المخزن المؤقت على الأنظمة ذات 32 بت، مما يؤدي إلى تخصيص مخزن مؤقت أصغر من المطلوب. قد يؤدي ذلك إلى تعطل النظام، أو تنفيذ تعليمات برمجية يتحكم فيها المهاجم، أو سلوك غير محدد آخر. وتعتبر التطبيقات والخدمات التي تقوم بطباعة أو تسجيل محتويات شهادات X.509 غير الموثوق بها عرضة لهذا الخطر، على الرغم من أن حجم الشهادات يجب أن يتجاوز 1 غيغابايت.

يمكن أن يؤدي تحليل رسائل CMS AuthEnvelopedData أو EnvelopedData التي تحتوي على معلمات AEAD (التشفير المصادق عليه مع البيانات المرتبطة) المصممة بشكل خبيث إلى حدوث تجاوز سعة مخزن المكدس. عند معالجة هياكل CMS باستخدام خوارزميات تشفير AEAD مثل AES-GCM، يتم نسخ متجه التهيئة (IV) المشفر في معلمات ASN.1 إلى مخزن مكدس ذي حجم ثابت دون التحقق مما إذا كان طوله مناسبًا للوجهة. وهذا يسمح للمهاجم بتقديم رسالة CMS مصممة خصيصًا تحتوي على متجه التهيئة (IV) ذي حجم زائد، مما يتسبب في كتابة خارج نطاق المكدس قبل حدوث أي مصادقة أو التحقق من العلامات. تتأثر التطبيقات والخدمات التي تقوم بتحليل محتوى CMS أو PKCS#7 غير الموثوق به، مثل S/MIME. ونظرًا لأن تجاوز السعة يحدث قبل المصادقة، فلا يلزم وجود مادة مفتاح صالحة لإثارة المشكلة، مما قد يؤدي إلى تعطل النظام مما يتسبب في رفض الخدمة أو احتمال تنفيذ التعليمات البرمجية عن بُعد.