CVE-2026-45445

Sintesi del problema: Quando un'applicazione utilizza un contesto AES-OCB tramite l'interfaccia one-shot pubblica EVP_Cipher(), l'initialisation vector (IV) fornito dall'applicazione viene silenziosamente scartato.

Sintesi dell'impatto: Ogni messaggio cifrato con la stessa chiave utilizza lo stesso nonce effettivo indipendentemente dall'IV fornito dal chiamante, risultando in riutilizzo di (chiave, nonce) e perdita di riservatezza. Se lo stesso percorso di codice viene usato per calcolare il tag di autenticazione, il tag dipende solo dalla coppia (chiave, IV) e non dal testo in chiaro o cifrato, consentendo la falsificazione universale di qualsiasi testo cifrato da un singolo messaggio catturato.

OpenSSL fornisce due modalità per utilizzare una cifratura: l'interfaccia streaming documentata (EVP_CipherUpdate / EVP_CipherFinal_ex) e una modalità one-shot di livello inferiore, EVP_Cipher(), la cui documentazione raccomanda esplicitamente di non usarla nelle applicazioni a favore di EVP_CipherUpdate() e EVP_CipherFinal_ex(). Il gestore streaming del provider OCB svuota l'IV fornito dall'applicazione nel contesto OCB prima di processare i dati; il gestore one-shot no. Ogni chiamata a EVP_Cipher() su un contesto AES-OCB quindi operava con lo stato di offset derivato dalla chiave e lasciato dall'inizializzazione del cifrario, indipendentemente dall'IV del chiamante.

Se successivamente si utilizza EVP_EncryptFinal_ex() per ottenere il tag di autenticazione, la configurazione differita dell'IV avviene in quel momento e azzera il checksum in corso che avrebbe dovuto essere accumulato sul testo in chiaro. Il tag risultante dipende solo da (chiave, IV) e verifica contro qualsiasi testo cifrato prodotto con la stessa coppia (chiave, IV).

L'implementazione SSL/TLS di OpenSSL non è interessata: AES-OCB non è una suite di cifratura TLS, e libssl non chiama EVP_Cipher() in nessun caso. Le applicazioni che utilizzano AES-OCB tramite l'API AEAD streaming documentata (EVP_CipherUpdate / EVP_CipherFinal_ex) non sono vulnerabili. Solo le applicazioni che combinano la cifratura AES-OCB con l'API one-shot EVP_Cipher() sono vulnerabili.

I moduli FIPS nelle versioni 4.0, 3.6, 3.5, 3.4 e 3.0 non sono interessati da questo problema, poiché AES-OCB si trova al di fuori del confine del modulo FIPS di OpenSSL.