PT-2026-47842
CVE-2026-45445
·
تاريخ النشر
2026-06-09
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
OpenSSL (لم يتم تحديد الإصدارات المتأثرة)
الوصف
عند استخدام خوارزمية التشفير AES-OCB مع واجهة
EVP Cipher() التي تُستخدم لمرة واحدة، يتم تجاهل متجه التهيئة (IV) المقدم من التطبيق دون إشعار. يؤدي هذا إلى استخدام كل رسالة مشفرة بنفس المفتاح لنفس الرقم العشوائي الفعّال (nonce)، مما يؤدي إلى إعادة استخدام (المفتاح، الرقم العشوائي) وفقدان السرية. إذا تم استخدام نفس المسار لحساب علامة المصادقة، فإن العلامة تعتمد فقط على الزوج (المفتاح، متجه التهيئة) بدلاً من النص العادي أو النص المشفر، مما يسمح بالتزوير الشامل لأي نص مشفر من رسالة واحدة تم التقاطها. يحدث هذا لأن معالج الاستخدام لمرة واحدة يفشل في تفريغ متجه التهيئة (IV) في سياق OCB، على عكس معالج التدفق. إذا تم استخدام EVP EncryptFinal ex() لاحقًا للحصول على علامة المصادقة، فإن إعداد متجه التهيئة (IV) المؤجل يمسح المجموع الاختباري الجاري الذي كان ينبغي تجميعه على النص العادي.التوصيات
تجنب استخدام واجهة برمجة التطبيقات (API) أحادية الاستخدام
EVP Cipher() مع خوارزمية التشفير AES-OCB، واستخدم بدلاً من ذلك واجهة برمجة التطبيقات (API) الموثقة للتشفير المتدفق AEAD والتي تتكون من EVP CipherUpdate() وEVP CipherFinal ex().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾