PT-2026-53736
CVE-2026-13758
·
تاريخ النشر
2026-06-29
·
تاريخ التحديث
2026-06-30
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CryptX السابقة للإصدار 0.088 001
الوصف
يقوم برنامج CryptX لـ Perl بإجراء مقارنات لعلامات المصادقة AEAD في وقت غير ثابت ضمن مسار
decrypt done المتدفق. تستخدم الدالة decrypt done($tag) دالة memNE (استنادًا إلى memcmp() != 0)، والتي تنهي المقارنة عند أول بايت مختلف. يؤدي هذا السلوك إلى إنشاء أوراكل للتحقق من العلامة، حيث يعتمد وقت التنفيذ على عدد البايتات المتطابقة في البداية. تؤثر هذه المشكلة على أوضاع GCM وCCM وChaCha20Poly1305 وEAX وOCB. يمكن للمهاجم القادر على إرسال العديد من العلامات المرشحة لنفس الرقم العشوائي (nonce) والنص المشفر والبيانات المرتبطة به، مع قياس التوقيت بدقة، استعادة العلامة المتوقعة بايتًا بايتًا لتزوير رسالة التحقق. لا تتأثر المساعدات * decrypt verify التي تُستخدم لمرة واحدة، لأنها تستخدم مقارنات ذات وقت ثابت داخل مكتبة libtomcrypt.التوصيات
تحديث CryptX إلى الإصدار 0.088 001 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾