CVE-2026-10097

요약

wolfSSL의 AVX2 최적화 ML-KEM 구현(mlkem_cmp_avx2)은 ML-KEM-1024 복호화 과정의 Fujisaki-Okamoto 재암호화 검사에서 1568바이트 중 1536바이트만 비교합니다. 예상 재암호화 결과와 1536~1567바이트에서만 차이가 나는 암호문은 암묵적 거부를 우회하여 유효한 것으로 수락되며, 이는 IND-CCA2 보안을 깨뜨립니다. 정적 ML-KEM-1024 키를 사용하는 복호화 오라클에 선택 암호문을 제출하고, 실제 공유 비밀키가 생성되었는지 아니면 암묵적 거부 비밀이 생성되었는지 관찰할 수 있는 공격자는 이를 평문 검사 오라클로 활용하여 개인 키를 복구할 수 있습니다. 개념 증명에서는 약 350개의 선택 암호문을 사용하여 약 98%의 성공률로 전체 ML-KEM-1024 개인 키를 복구했습니다. 이 결함은 결정적 논리 오류이며 타이밍 측정에 의존하지 않습니다.

• ml-kem-key-recovery익스플로잇

  wolfSSL의 부분적 Fujisaki-Okamoto 비교로부터 ML-KEM-1024 전체 키 복구 (CVE-2026-6330 NEON, CVE-2026-10097 AVX2)