Igor Ustinov

A multiplicação escalar de curva elíptica genérica usada para operações de assinatura ECDSA e SM2 vaza informações sobre o nonce secreto através de discrepâncias de tempo. Isso ocorre porque curvas que não possuem uma implementação de tempo constante dedicada utilizam operações BIGNUM cujo tempo de execução varia com base no valor do escalar secreto. Um invasor capaz de medir os tempos de assinatura em muitas assinaturas poderia, potencialmente, recuperar a chave privada usando um ataque de rede (lattice) ou o Problema do Número Oculto (Hidden Number Problem). Este problema afeta principalmente aplicações que utilizam assinaturas SM2 ou assinaturas ECDSA em curvas primas genéricas e Brainpool, especialmente aquelas cuja ordem do grupo esteja no limite da palavra da máquina, como a brainpoolP384r1.

Em plataformas ARM64 e RISC-V, a curva SM2 utiliza uma implementação de multiplicação escalar que não é de tempo constante. Como os desvios condicionais e as pesquisas em tabela são determinados pelos bits do escalar secreto, o tempo de execução e os padrões de acesso ao cache dependem da chave privada de longo prazo durante a descriptografia ou do nonce por assinatura durante a geração de assinatura. Isso cria um canal lateral de tempo e cache que permite a um invasor obter informações sobre o escalar secreto.

A geração de assinatura SM2 utiliza aritmética de tempo não constante em valores secretos, criando um canal lateral de temporização. O processo calcula o valor da assinatura usando operações BIGNUM de tempo variável na chave privada e no nonce secreto, o que significa que o tempo necessário para produzir uma assinatura depende desses valores secretos. Um invasor capaz de medir os tempos de assinatura pode obter informações sobre o nonce secreto por assinatura, o que pode levar à recuperação da chave privada por meio de um ataque de rede (lattice) ou do Problema do Número Oculto (Hidden Number Problem).

Uma desreferência de ponteiro NULL pode ocorrer durante a descriptografia de mensagens Cryptographic Message Syntax (CMS) criptografadas por senha. O problema surge porque a implementação CMS do OpenSSL desreferencia o campo `PasswordRecipientInfo.keyDerivationAlgorithm` sem verificar sua presença, apesar de ser definido como opcional na especificação ASN.1. Um invasor pode explorar isso fornecendo uma mensagem CMS especialmente criada, causando a falha do aplicativo e resultando em uma Negação de Serviço.

Uma desreferência de ponteiro NULL pode ocorrer em uma aplicação cliente CMP ao processar uma resposta CMP manipulada. Um invasor que controle um servidor CMP ou atue como man-in-the-middle pode enviar uma CertRepMessage CRMF contendo uma estrutura EncryptedValue onde o campo `symmAlg` inclui um OID de algoritmo, mas não possui um campo de parâmetros. Isso resulta no travamento da aplicação e em uma Negação de Serviço (DoS). Este problema afeta aplicações que processam mensagens CMP/CRMF não confiáveis.

Uma condição de use-after-free ocorre durante a verificação de assinatura PKCS#7 ao processar uma mensagem assinada PKCS#7 ou S/MIME especialmente criada. Se o campo `digestAlgorithms` do `SignedData` estiver presente como um SET ASN.1 vazio, a função `PKCS7 verify()` pode liberar incorretamente um BIO (abstração de Entrada/Saída Básica) pertencente ao chamador. Uma tentativa subsequente do aplicativo de usar ou liberar este BIO via `BIO free()` leva à corrupção de memória, travamentos do processo ou, potencialmente, execução remota de código. Este problema afeta aplicativos que utilizam as APIs PKCS#7 do OpenSSL, enquanto aqueles que utilizam as APIs CMS não são afetados. Os módulos FIPS nas versões 4.0, 3.6, 3.5, 3.4 e 3.0 não são impactados, pois o código afetado reside fora do limite do módulo FIPS.

A conversão de um valor OCTET STRING excessivamente grande para uma string hexadecimal leva a um estouro de buffer de heap (heap buffer overflow) em plataformas de 32 bits. Isso ocorre quando um certificado X.509 manipulado contém um valor OCTET STRING excessivamente grande em extensões como o Subject Key Identifier (SKID) ou Authority Key Identifier (AKID). O sistema calcula o tamanho do buffer necessário multiplicando o comprimento da entrada por 3, o que pode causar um estouro em plataformas de 32 bits, resultando na alocação de um buffer menor do que o necessário. Isso pode levar a um travamento, execução de código controlado por um invasor ou outro comportamento indefinido. Aplicativos e serviços que imprimem ou registram conteúdos de certificados X.509 não confiáveis estão suscetíveis, embora os certificados precisariam ter tamanhos superiores a 1 Gigabyte.

A análise de mensagens CMS AuthEnvelopedData ou EnvelopedData com parâmetros AEAD (Authenticated Encryption with Associated Data) maliciosamente criados pode desencadear um estouro de buffer de pilha. Ao processar estruturas CMS que utilizam cifras AEAD, como AES-GCM, o IV (Vetor de Inicialização) codificado nos parâmetros ASN.1 é copiado para um buffer de pilha de tamanho fixo sem verificar se seu comprimento cabe no destino. Isso permite que um invasor forneça uma mensagem CMS manipulada com um IV excessivamente grande, causando uma gravação fora dos limites baseada em pilha antes que ocorra qualquer autenticação ou verificação de etiqueta. Aplicativos e serviços que analisam conteúdo CMS ou PKCS#7 não confiável, como S/MIME, são afetados. Como o estouro ocorre antes da autenticação, nenhum material de chave válido é necessário para disparar o problema, o que pode levar a uma falha causando Negação de Serviço ou, potencialmente, execução remota de código.