CVE-2026-87736
ŚrednieCVSS 4.3Streszczenie
W pakiecie mirage-crypto-ec przed wersją 2.3.0 dla OCaml wykryto odczyt poza zakresem dla skompresowanych punktów klucza publicznego EC. Może to prowadzić do ujawnienia danych lub awarii programu.
Ocena ryzyka
Ryzyko obejmuje potencjalne ujawnienie wrażliwych danych w pamięci lub awarię aplikacji, co może wpłynąć na dostępność i poufność systemów używających tej biblioteki.
Rekomendacja
Należy zaktualizować pakiet mirage-crypto-ec do wersji 2.3.0 lub nowszej, która zawiera poprawkę eliminującą odczyt poza zakresem.
Inne podatności w mirage-crypto-ec
Zobacz wszystkie- CVE-2026-87737Średnie
W pakiecie mirage-crypto-ec przed wersją 2.4.0 dla OCaml wykryto boczny kanał czasowy w mnożeniu skalarnym na krzywych eliptycznych NIST: czas potrzebny na wyszukiwanie może zależeć od sekretu. To może pozwolić atakującemu na odzyskanie klucza prywatnego poprzez pomiary czasu.
- CVE-2026-87733Średnie
W pakiecie mirage-crypto-ec przed wersją 2.2.0 dla OCaml funkcje ECDSA {P256,P384,P521}.Dsa.pub_of_octets akceptują 0x00, czyli kodowanie punktu w nieskończoności, jako klucz publiczny. Z takim kluczem publicznym można fałszować podpisy bez posiadania klucza prywatnego.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in the mirage-crypto-ec package before 2.3.0 for OCaml. There is an EC public key out-of-bounds read for compressed points.