CVE-2019-15847

Wysokie

Opublikowano: —Przetłumaczono: 06/07/2026(UTC)NVD NIST

Streszczenie

W backendzie POWER9 kompilatora GCC przed wersją 10, optymalizacja wielokrotnych wywołań wbudowanej funkcji __builtin_darn do pojedynczego wywołania zmniejsza entropię generatora liczb losowych. Problem wynika z braku oznaczenia operacji jako ulotnej (volatile).

Ocena ryzyka

Organizacja może polegać na mniej losowych liczbach generowanych przez kod skompilowany z podatnym GCC, co osłabia bezpieczeństwo kryptograficzne i może ułatwić ataki oparte na przewidywaniu wartości losowych.

Rekomendacja

Zaleca się aktualizację kompilatora GCC do wersji 10 lub nowszej, która zawiera poprawkę zapobiegającą nieprawidłowej optymalizacji wywołań __builtin_darn.

Inne podatności w GCC

CVE-1999-1439Niskie
Gcc 2.7.2 umożliwia lokalnym użytkownikom nadpisywanie dowolnych plików poprzez atak symlink na tymczasowe pliki .i, .s lub .o.

Oryginalny opis (angielski, źródło NVD)

The POWER9 backend in GNU Compiler Collection (GCC) before version 10 could optimize multiple calls of the __builtin_darn intrinsic into a single call, thus reducing the entropy of the random number generator. This occurred because a volatile operation was not specified. For example, within a single