CVE-2025-69418

Zusammenfassung

Issue-Zusammenfassung: Bei direkter Verwendung der Low-Level-OCB-API mit AES-NI oder<br>anderen hardwarebeschleunigten Codepfaden können Eingaben, deren Länge kein Vielfaches<br>von 16 Bytes ist, dazu führen, dass der letzte Teilblock unverschlüsselt und unauthentifiziert bleibt.<br><br>Auswirkungs-Zusammenfassung: Die letzten 1-15 Bytes einer Nachricht können bei der<br>Verschlüsselung im Klartext offengelegt werden und sind nicht durch das Authentifizierungs-Tag abgedeckt,<br>wodurch ein Angreifer diese Bytes unbemerkt lesen oder manipulieren kann.<br><br>Die Low-Level-OCB-Verschlüsselungs- und -Entschlüsselungsroutinen im hardwarebeschleunigten<br>Stream-Pfad verarbeiten vollständige 16-Byte-Blöcke, verschieben aber die Eingabe-/Ausgabezeiger<br>nicht. Der anschließende Tail-Verarbeitungscode arbeitet dann mit den ursprünglichen<br>Basiszeigern, wodurch der Anfang des Puffers erneut verarbeitet wird, während<br>die tatsächlichen abschließenden Bytes unverarbeitet bleiben. Die Authentifizierungs-Prüfsumme<br>schließt ebenfalls die tatsächlichen Tail-Bytes aus.<br><br>Typische OpenSSL-Anwender, die EVP verwenden, sind jedoch nicht betroffen, da die<br>höherwertigen EVP- und Provider-OCB-Implementierungen Eingaben so aufteilen, dass vollständige<br>Blöcke und abschließende Teilblöcke in separaten Aufrufen verarbeitet werden, wodurch der<br>problematische Codepfad vermieden wird. Darüber hinaus verwendet TLS keine OCB-Ciphersuiten.<br>Die Schwachstelle betrifft nur Anwendungen, die die Low-Level-Funktionen<br>CRYPTO_ocb128_encrypt() oder CRYPTO_ocb128_decrypt() direkt mit<br>nicht blockausgerichteten Längen in einem einzigen Aufruf auf hardwarebeschleunigten Builds aufrufen.<br>Aus diesen Gründen wurde das Problem als geringe Schwere (Low) eingestuft.<br><br>Die FIPS-Module in 3.6, 3.5, 3.4, 3.3, 3.2, 3.1 und 3.0 sind von diesem<br>Problem nicht betroffen, da der OCB-Modus kein FIPS-zugelassener Algorithmus ist.<br><br>OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 und 1.1.1 sind von diesem Problem betroffen.<br><br>OpenSSL 1.0.2 ist von diesem Problem nicht betroffen.

Quellen

• cves-2025-11187_15467_69418