PT-2026-47856
CVE-2026-9076
·
تاريخ النشر
2026-05-16
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
OpenSSL (لم يتم تحديد الإصدارات المتأثرة)
الوصف
قد تحدث قراءة خارج حدود الذاكرة (heap out-of-bounds read) أثناء عملية فك التشفير المستندة إلى كلمة المرور في CMS (RFC 3211 / فك تغليف مفتاح PWRI) عند معالجة بيانات CMS التي يزودها المهاجم. تنشأ المشكلة في الدالة
kek unwrap key() عندما يختار المهاجم تشفير مفتاح تشفير المفتاح (KEK) في وضع الدفق (stream-mode) عبر معرّف OID في keyEncryptionAlgorithm. ونظرًا لأن النظام لا يشترط أن تكون خوارزمية التشفير من نوع التشفير الكتلي، يتم تجاوز فحص الحد الأدنى للطول، مما يسمح بأن يكون المخزن المؤقت المخصص للمفتاح الذي تم فك تغليفه أصغر من اللازم لاستيعاب بايتات الفحص المحددة في RFC. وقد يؤدي ذلك إلى تعطل النظام وما يتبعه من رفض الخدمة (DoS) إذا انتهى المخزن المؤقت للإدخال عند حدود صفحة ذاكرة وكانت الصفحة التالية غير مخططة. تتأثر التطبيقات التي تستخدم CMS decrypt() أو CMS decrypt set1 password() على بيانات غير موثوق بها. ولا يتطلب الأمر معرفة كلمة المرور لإحداث هذه المشكلة. ولا تتأثر وحدات FIPS بهذه المشكلة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾