CVE-2026-44519 Falta de barrera de valor en la ruta de rechazo implícito FO de liboqs
La función ct_select de util.c para las variantes AES y SHAKE de FrodoKEM-640, FrodoKEM-976 y FrodoKEM-1344 carece de barrera de valor en la ruta de rechazo implícito de Fujisaki-Okamoto. Compilado con Clang 17 o posterior en niveles como -Os, el compilador puede emitir una carga condicional dependiente del secreto, dejando residencia de caché distinguible tras decapsulaciones exitosas y fallidas. Un atacante local con mediciones repetidas de temporización de caché podría usarlo en un ataque de recuperación de…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 2
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
open-quantum-safe liboqs
< 0.16.0
Qué hacer
- Verificá si usás liboqs y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.1 MEDIA
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueLocal
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
liboqs is a C-language cryptographic library that provides implementations of post-quantum cryptography algorithms. Prior to 0.16.0, the ct_select function in src/kem/frodokem/external/util.c for the FrodoKEM-640, FrodoKEM-976, and FrodoKEM-1344 AES and SHAKE reference variants lacks a value barrier in the Fujisaki-Okamoto implicit-rejection path. When compiled with Clang 17 or later at an affected optimization level such as -Os, the compiler can emit a secret-dependent conditional load, causing the real and rejection secret paths to leave distinguishable cache residency after successful and failed decapsulation. A local attacker able to perform repeated cache-timing measurements may use this oracle as part of a private-key recovery attack. Default -O3 builds vectorize both source loads and do not exhibit the reported behavior, and the advisory does not report the same generated memory-access pattern in NTRU, NTRU-Prime, BIKE, HQC, Classic McEliece, Kyber, or the already-barriered ML-KEM implementation. This issue is fixed in version 0.16.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.