Vulnerabilidad en liboqs (CVE-2024-36405)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/06/2024

Última modificación:

10/06/2024

Descripción

liboqs es una librería criptográfica en lenguaje C que proporciona implementaciones de algoritmos de criptografía poscuántica. Se ha identificado una escasez de sincronización del flujo de control en la implementación de referencia del mecanismo de encapsulación de claves Kyber cuando se compila con Clang 15-18 para `-Os`, `-O1` y otras opciones de compilación. Un ataque local de prueba de concepto a la implementación de referencia filtra toda la clave secreta ML-KEM 512 en aproximadamente 10 minutos utilizando mediciones de tiempo de decapsulación de extremo a extremo. El problema se solucionó en la versión 0.10.1. Como posible solución, algunas opciones del compilador pueden producir código vectorizado que no filtra información secreta; sin embargo, confiar en estas opciones del compilador como solución puede no ser confiable.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.90

Gravedad 3.x

MEDIA

Vulnerabilidad en liboqs (CVE-2024-36405)

Descripción

Impacto

Referencias a soluciones, herramientas e información