CVE-2026-5419
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 — wyżej niż 29% wszystkich znanych CVE
Streszczenie
W bibliotece GnuTLS wykryto podatność polegającą na tym, że sprawdzanie dopełnienia PKCS#7 podczas deszyfrowania nie było wykonywane w stałym czasie. Ta różnica czasowa może pozwolić zdalnemu atakującemu na wyciek wrażliwych informacji o bajtach dopełnienia poprzez obserwację czasu operacji.
Ocena ryzyka
Atakujący może wykorzystać różnice czasowe do odtworzenia danych wrażliwych, co stanowi zagrożenie dla poufności przetwarzanych informacji w systemach używających GnuTLS do deszyfrowania danych z dopełnieniem PKCS#7.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę GnuTLS do wersji, w której poprawiono stałość czasową sprawdzania dopełnienia PKCS#7. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie funkcji deszyfrowania z dopełnieniem PKCS#7.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in gnutls. The PKCS#7 padding check, performed during decryption, was not constant-time. This timing side-channel could allow a remote attacker to potentially leak sensitive information about the padding bytes through observable timing differences. This vulnerability is a form of information disclosure.