CVE-2026-10097

总结

wolfSSL 的 AVX2 优化版 ML-KEM 实现（mlkem_cmp_avx2）在 ML-KEM-1024 解封装过程中的 Fujisaki-Okamoto 重加密检查中，仅比较了 1568 个密文字节中的 1536 个。仅在字节 1536-1567 上与预期重加密结果不同的密文会绕过隐式拒绝并被接受为有效，从而破坏 IND-CCA2 安全性。攻击者若能向使用静态 ML-KEM-1024 密钥的解封装预言机提交选定的密文，并观察到生成的是真实共享秘密还是隐式拒绝秘密，便可将其用作明文检查预言机来恢复私钥。一份概念验证证明，使用约 350 个选定密文即可恢复完整的 ML-KEM-1024 私钥，成功率约为 98%。该缺陷是一个确定性的逻辑错误，不依赖于时序测量。

• ml-kem-key-recovery漏洞利用

  通过 wolfSSL 中部分 Fujisaki-Okamoto 比较实现完整的 ML-KEM-1024 密钥恢复（CVE-2026-6330 NEON、CVE-2026-10097 AVX2）