CVE-2026-10097

Résumé

L'implémentation ML-KEM optimisée AVX2 de wolfSSL (mlkem_cmp_avx2) ne compare que 1536 des 1568 octets du texte chiffré lors de la vérification de re-chiffrement Fujisaki-Okamoto dans le décapsulage ML-KEM-1024. Les textes chiffrés qui diffèrent du re-chiffrement attendu uniquement dans les octets 1536-1567 contournent le rejet implicite et sont acceptés comme valides, ce qui brise la sécurité IND-CCA2. Un attaquant capable de soumettre des textes chiffrés choisis à un oracle de décapsulage utilisant une clé ML-KEM-1024 statique, et d'observer si le secret partagé authentique ou le secret de rejet implicite a été produit, peut utiliser cela comme un oracle de vérification de texte clair pour récupérer la clé privée. Une preuve de concept a récupéré une clé privée ML-KEM-1024 complète avec environ 98 % de succès en utilisant environ 350 textes chiffrés choisis. La faille est une erreur logique déterministe et ne repose pas sur des mesures de temporisation.

• ml-kem-key-recoveryExploit

  Récupération complète de la clé ML-KEM-1024 à partir d'une comparaison partielle de Fujisaki-Okamoto dans wolfSSL (CVE-2026-6330 NEON, CVE-2026-10097 AVX2)