CVE-2026-57062

总结

# GnuPG 2.5.20 及更早版本中的 gpgsm 存在 CMS 解析漏洞 GnuPG 2.5.20 及更早版本中，gpgsm 对 CMS（加密消息语法）的解析错误处理了 AES-GCM 的 CMS 格式，因为 aes-ICVlen 本应为 12 字节，但实际却接受了 4 字节。 注意：此问题与 CVE-2026-34182 相关。

• gpgsm-cve-2026-57062-cms-gcm-short-tagPoC

  概念验证，演示了 GnuPG 的 gpgsm 中 CMS AES-GCM 短标签认证绕过漏洞（CVE-2026-57062）。可伪造一条消息，该消息在存在漏洞的构建版本上能够成功解密，但在已修补的版本上会被拒绝。