CVE-2026-21383
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Podatność wynika z użycia statycznego wektora inicjalizującego (IV) podczas szyfrowania AES-GCM do zawijania kluczy. AES-GCM wymaga unikalnego IV dla każdej operacji, aby zapewnić bezpieczeństwo kryptograficzne.
Ocena ryzyka
Użycie stałego IV umożliwia atakującemu odtworzenie strumienia klucza i potencjalne odszyfrowanie lub modyfikację chronionych danych, co może prowadzić do naruszenia poufności i integralności kluczy kryptograficznych.
Rekomendacja
Należy zaktualizować bibliotekę kryptograficzną do wersji, która generuje unikalny IV dla każdego wywołania AES-GCM key wrapping. W międzyczasie można zastosować tymczasowe obejście polegające na ręcznym generowaniu losowego IV.
Oryginalny opis (angielski, źródło NVD)
Cryptographic Issue when using a static initialization vector for AES-GCM key wrapping, which requires a unique value for each call to ensure security.