PT-2024-40455 · Pypqc · Pypqc

Publicado 2024-02-22 · Atualizado 2024-02-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do PyPQC anteriores à 0.0.6.1

Descrição

Um invasor capaz de enviar várias solicitações de descapsulação contra uma única chave privada e de obter informações de tempo sobre a descapsulação poderia recuperar a chave privada. Existe uma exploração de prova de conceito para um invasor local.

Recomendações

Para versões do PyPQC anteriores à 0.0.6.1, atualize para a versão 0.0.6.1 ou mais recente, pois se trata de uma substituição direta sem alterações significativas conhecidas.

Correção

Identificadores relacionados

GHSA-RC4P-P3J9-6577

Produtos afetados

Pypqc

Referências · 11

• https://github.com/JamesTheAwesomeDude/pypqc/security/advisories/GHSA-rc4p-p3j9-6577 · Nota
• https://github.com/JamesTheAwesomeDude/pypqc · Nota
• https://github.com/JamesTheAwesomeDude/pypqc/commit/b33fec8cd36e865f8db6215c64b2d01f429a1ed6 · Nota
• https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/hWqFJCucuj4/m/-Z-jm_k9AAAJ · Nota
• https://github.com/pq-crystals/kyber/commit/dda29cc63af721981ee2c831cf00822e69be3220 · Nota
• https://github.com/PQClean/PQClean/pull/534#event-11595728485 · Nota
• https://osv.dev/vulnerability/GHSA-rc4p-p3j9-6577 · Aviso do Fabricante
• https://github.com/pq-crystals/kyber/commit/11d00ff1f20cfca1f72d819e5a45165c1e0a2816 · Nota
• https://kyberslash.cr.yp.to · Nota
• https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/ldX0ThYJuBo/m/uIOqRF5BAwAJ · Nota
• https://github.com/PQClean/PQClean/issues/533 · Nota