CVE-2026-28815

WysokieCVSS 7.5

Opublikowano: 03/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Zdalny atakujący może dostarczyć krótki klucz X-Wing HPKE i wywołać odczyt poza zakresem w ścieżce deszyfrowania C, potencjalnie powodując awarię lub ujawnienie pamięci w zależności od zabezpieczeń środowiska wykonawczego. Problem został naprawiony w swift-crypto w wersji 4.3.1.

Ocena ryzyka

Ryzyko obejmuje potencjalne ujawnienie wrażliwych danych w pamięci lub awarię aplikacji, co może prowadzić do naruszenia poufności i dostępności.

Rekomendacja

Zaleca się aktualizację biblioteki swift-crypto do wersji 4.3.1 lub nowszej.

Inne podatności w swift-crypto

CVE-2026-43823Wysokie
W bibliotece swift-crypto przed wersją 4.5.1, podczas inicjalizacji klucza RSA z DER lub PEM, w przypadku błędu następuje podwójne zwolnienie pamięci (double-free). Może to prowadzić do awarii przy przyszłych alokacjach pamięci. Problem występuje, gdy BoringSSL nie może zdekodować klucza.

Oryginalny opis (angielski, źródło NVD)

A remote attacker can supply a short X-Wing HPKE encapsulated key and trigger an out-of-bounds read in the C decapsulation path, potentially causing a crash or memory disclosure depending on runtime protections. This issue is fixed in swift-crypto version 4.3.1.