CVE-2026-12340

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Descrição Ocorre uma leitura fora dos limites do heap durante a verificação de assinatura de certificado SM2/SM3. Ao analisar um certificado com uma assinatura SM3wSM2, o cálculo do Subject Key Identifier lê os 65 bytes finais da chave pública sem verificar se a chave possui esse comprimento mínimo. Uma chave pública menor que 65 bytes resulta em uma leitura fora dos limites do heap, levando a um possível travamento (negação de serviço); não há gravação fora dos limites. Este problema afeta apenas compilações com suporte a SM2 via --enable-sm2 ou --enable-all.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.