CVE-2026-76234
WysokieCVSS 7.5Streszczenie
libcrux-ecdh i libcrux-ed25519 przed wersją 0.0.6 oraz libcrux-psq przed wersją 0.0.7 zawierają błędy w implementacji kryptograficznej. libcrux-ecdh nie sprawdzał poprawnie długości i klampowania podczas walidacji sekretów X25519 (oraz miał uszkodzone sprawdzanie klampowania dla importowanych kluczy sekretnych X25519); libcrux-ed25519 wykonywał podwójne klampowanie podczas generowania kluczy; a libcrux-psq panikował zamiast propagować błąd AEADError. Błędy naprawiono w odpowiednich wersjach.
Ocena ryzyka
Błędy w implementacji kryptograficznej mogą prowadzić do osłabienia bezpieczeństwa kluczy, nieprawidłowego działania podpisów lub awarii usług, co może narazić poufność i integralność danych.
Rekomendacja
Zaktualizuj libcrux-ecdh i libcrux-ed25519 do wersji 0.0.6 lub nowszej oraz libcrux-psq do wersji 0.0.7 lub nowszej, aby uzyskać poprawki.
Oryginalny opis (angielski, źródło NVD)
libcrux-ecdh and libcrux-ed25519 before 0.0.6, and libcrux-psq before 0.0.7, contain cryptographic implementation bugs. libcrux-ecdh did not properly check length and clamping during X25519 secret validation (and had a broken clamping check for imported X25519 secret keys); libcrux-ed25519 performed a duplicated clamping step during key generation; and libcrux-psq panicked instead of propagating an AEADError. These were fixed in the respective patched releases.