CVE-2026-10097

Resumen

La implementación de ML-KEM optimizada para AVX2 de wolfSSL (mlkem_cmp_avx2) compara solo 1536 de los 1568 bytes del texto cifrado durante la verificación de re-cifrado de Fujisaki-Okamoto en la descapsulación de ML-KEM-1024. Los textos cifrados que difieren del re-cifrado esperado únicamente en los bytes 1536-1567 omiten el rechazo implícito y se aceptan como válidos, rompiendo la seguridad IND-CCA2. Un atacante capaz de enviar textos cifrados elegidos a un oráculo de descapsulación que utiliza una clave estática ML-KEM-1024, y de observar si se produjo el secreto compartido genuino o el secreto de rechazo implícito, puede usar esto como un oráculo de verificación de texto plano para recuperar la clave privada. Una prueba de concepto recuperó una clave privada completa de ML-KEM-1024 con aproximadamente un 98% de éxito utilizando alrededor de 350 textos cifrados elegidos. La falla es un error lógico determinista y no depende de mediciones de tiempo.

• ml-kem-key-recoveryExploit

  Recuperación completa de la clave ML-KEM-1024 a partir de una comparación parcial de Fujisaki-Okamoto en wolfSSL (CVE-2026-6330 NEON, CVE-2026-10097 AVX2)