PT-2026-47843
CVE-2026-45446
·
تاريخ النشر
2026-06-09
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenSSL من 3.0 إلى 3.3
الوصف
تتعامل عمليات تنفيذ خوارزميات AES-SIV وAES-GCM-SIV بشكل خاطئ مع مصادقة «البيانات المصادق عليها الإضافية» (AAD) عندما يكون النص المشفر فارغًا، مما يسمح بتزوير مثل هذه الرسائل. في تطبيق مزود الخدمة لهذه الخوارزميات التشفيرية، لا يتم حساب العلامة المتوقعة إلا عند استدعاء دالة فك التشفير ببيانات غير فارغة. إذا قدم المستدعي بيانات AAD ثم استدعى الدالة
EVP DecryptFinal ex() دون تحديث النص المشفر (وهو ما يحدث عندما يكون طول النص المشفر المستلم صفرًا)، فلا يتم إعادة حساب العلامة وتظل قيمتها عبارة عن أصفار فقط. وبالتالي، بالنسبة لـ AES-GCM-SIV، يمكن للمهاجم اجتياز المصادقة باستخدام AAD عشوائي، ونص مشفر فارغ، وعلامة مكونة من أصفار فقط دون معرفة المفتاح. بالنسبة لـ AES-SIV، يتطلب الهجوم أن يعيد التطبيق استخدام سياق فك التشفير دون إعادة تعيين المفتاح.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾