Проблема была обнаружена в пакете mirage-crypto-ec до версии 2.4.0 для OCaml. Существует боковой канал синхронизации для скалярного умножения эллиптической кривой NIST: время, необходимое для поиска, может зависеть от секрета.
Показать оригинальное описание (EN)
An issue was discovered in the mirage-crypto-ec package before 2.4.0 for OCaml. There is a timing side channel for NIST elliptic-curve scalar multiplication: the time required for a lookup can depend on a secret.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
ocaml:mirage-crypto-ec