一、 漏洞 CVE-2025-52473 基础信息
漏洞信息
                                        # 使用Clang 17-20编译时，HQC参考实现中liboqs的依赖密钥分支问题

## 概述
liboqs是一个提供后量子加密算法实现的C语言加密库。在HQC密钥封装机制的参考实现中，当使用Clang编译器且优化级别高于-O0（如-O1, -O2等）时，发现存在多个依赖密钥的分支。这导致了一个远程攻击者可以利用这些依赖密钥的信息来恢复整个秘密密钥。

## 影响版本
0.13.0及之前的版本

## 细节
该漏洞存在于liboqs库中HQC密钥封装机制的参考实现中。当使用Clang编译器并且优化级别设置为-O1, -O2等高于-O0的级别时，编译过程中引入了多个依赖秘密密钥的分支条件。这使得攻击者可以通过秘密密钥相关的侧信道信息，构建并执行一个证明概念攻击，最终恢复出完整的秘密密钥。

## 影响
攻击者可以利用该漏洞在本地执行攻击，恢复出整个秘密密钥。这会导致加密保护的完整性被破坏，破坏了系统的安全性。此漏洞在0.14.0版本中得到修复。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
liboqs secret-dependent branching in HQC reference implementation when compiled with Clang 17-20
来源：美国国家漏洞数据库 NVD
漏洞描述信息
liboqs is a C-language cryptographic library that provides implementations of post-quantum cryptography algorithms. Multiple secret-dependent branches have been identified in the reference implementation of the HQC key encapsulation mechanism when it is compiled with Clang for optimization levels above -O0 (-O1, -O2, etc). A proof-of-concept local attack exploits this secret-dependent information to recover the entire secret key. This vulnerability is fixed in 0.14.0.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
信息暴露
来源：美国国家漏洞数据库 NVD
漏洞标题
liboqs 信息泄露漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
liboqs是Open Quantum Safe开源的一个用于量子安全加密算法的开源 C 库。 liboqs 0.14.0之前版本存在信息泄露漏洞，该漏洞源于HQC密钥封装机制存在秘密依赖分支。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
信息泄露
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-52473 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-52473 的情报信息

  • 标题： Secret-dependent branching in HQC reference implementation when compiled with Clang 17-20 for optimizations above -O0 · Advisory · open-quantum-safe/liboqs · GitHub -- 🔗来源链接

    标签： x_refsource_CONFIRM

    神龙速读
    Secret-dependent branching in HQC reference implementation when compiled with Clang 17-20 for optimizations above -O0 · Advisory · open-quantum-safe/liboqs · GitHub

  • 标题： Merge commit from fork · open-quantum-safe/liboqs@4215362 · GitHub -- 🔗来源链接

    标签： x_refsource_MISC

    神龙速读
    Merge commit from fork · open-quantum-safe/liboqs@4215362 · GitHub
  • https://nvd.nist.gov/vuln/detail/CVE-2025-52473