CVE-2026-85783
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wersje Crypt::Age starsze niż 0.004 dla Perla umożliwiają wyczerpanie procesora poprzez nieograniczoną liczbę sekcji odbiorców, z których każda kosztuje mnożenie skalarne X25519 w kluczu_pliku unwrap.
Parser nagłówka akceptuje dowolną liczbę sekcji odbiorców, a unwrap_file_key sprawdza każdą tożsamość względem każdej sekcji X25519. Każda próba uruchamia mnożenie skalarne, otwiera HKDF i ChaCha20-Poly1305. Nie można najpierw sprawdzić adresu MAC nagłówka, ponieważ jego klucz pochodzi z klucza pliku, który powstaje tylko po pomyślnym rozpakowaniu.
Każda sekcja ma 98 bajtów nagłówka wybranego przez atakującego i kupuje jedno skalarne mnożenie na każdą przechowywaną tożsamość, a plik jest odrzucany dopiero po uruchomieniu każdego z nich. Osoba wywołująca osiąga to poprzez decrypt, decrypt_file lub decrypt_filehandle za każdym razem, gdy odszyfrowuje plik, którego nie zapisał.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org