CVE-2026-86983
Niskie ryzyko· EPSS 5%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Zdalny atakujący może spowodować zakończenie procesu, który przekazuje kontrolowane przez atakującego dane wejściowe do API P-384 VOPRF bez ograniczenia ich długości. Podatność została naprawiona w wersji swift-crypto 5.0.3.
Ocena ryzyka
Atakujący może wywołać awarię procesu (denial of service), co może prowadzić do niedostępności usługi. Może to zakłócić działanie aplikacji zależnych od swift-crypto.
Rekomendacja
Zaktualizuj swift-crypto do wersji 5.0.3 lub nowszej. Rozważ ograniczenie długości danych wejściowych na poziomie aplikacji.
Inne podatności w swift-crypto
Zobacz wszystkie- CVE-2026-43823Wysokie
W bibliotece swift-crypto przed wersją 4.5.1, podczas inicjalizacji klucza RSA z DER lub PEM, w przypadku błędu następuje podwójne zwolnienie pamięci (double-free). Może to prowadzić do awarii przy przyszłych alokacjach pamięci. Problem występuje, gdy BoringSSL nie może zdekodować klucza.
- CVE-2026-28815Wysokie
Zdalny atakujący może dostarczyć krótki klucz X-Wing HPKE i wywołać odczyt poza zakresem w ścieżce deszyfrowania C, potencjalnie powodując awarię lub ujawnienie pamięci w zależności od zabezpieczeń środowiska wykonawczego. Problem został naprawiony w swift-crypto w wersji 4.3.1.
Oryginalny opis (angielski, źródło NVD)
A remote attacker may be able to terminate a process that passes attacker-controlled input to the P-384 VOPRF API without bounding its length. This vulnerability is addressed in swift-crypto version 5.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS