CVE-2026-28815
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Zdalny atakujący może dostarczyć krótki klucz X-Wing HPKE i wywołać odczyt poza zakresem w ścieżce deszyfrowania C, potencjalnie powodując awarię lub ujawnienie pamięci w zależności od zabezpieczeń środowiska wykonawczego. Problem został naprawiony w swift-crypto w wersji 4.3.1.
Ocena ryzyka
Ryzyko obejmuje potencjalne ujawnienie wrażliwych danych w pamięci lub awarię aplikacji, co może prowadzić do naruszenia poufności i dostępności.
Rekomendacja
Zaleca się aktualizację biblioteki swift-crypto do wersji 4.3.1 lub nowszej.
Inne podatności w swift-crypto
Zobacz wszystkie- CVE-2026-86983Niskie ryzyko· EPSS 5%
Zdalny atakujący może spowodować zakończenie procesu, który przekazuje kontrolowane przez atakującego dane wejściowe do API P-384 VOPRF bez ograniczenia ich długości. Podatność została naprawiona w wersji swift-crypto 5.0.3.
- CVE-2026-43823Wysokie
W bibliotece swift-crypto przed wersją 4.5.1, podczas inicjalizacji klucza RSA z DER lub PEM, w przypadku błędu następuje podwójne zwolnienie pamięci (double-free). Może to prowadzić do awarii przy przyszłych alokacjach pamięci. Problem występuje, gdy BoringSSL nie może zdekodować klucza.
Oryginalny opis (angielski, źródło NVD)
A remote attacker can supply a short X-Wing HPKE encapsulated key and trigger an out-of-bounds read in the C decapsulation path, potentially causing a crash or memory disclosure depending on runtime protections. This issue is fixed in swift-crypto version 4.3.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS