CVE-2026-71884: Bouncy Castle CTR Mode Key Stream Reuse Vulnerability

CVE-2026-71884 漏洞概要 タイトル: Packet CTR は、カウンターがオーバーフローした後に完全な成功長を報告する。 問題の説明: CTRモードでは、IV（初期化ベクトル）とブロックカウンターは16バイトのブロックを共有するため、長いIVは短いカウンターしか残さない。例えば、13〜15バイトのIVは、1〜3バイトのカウンターを残すことになり、これはそれぞれ256、65536、または16777216ブロックしかアドレス指定できない。呼び出し元は、この時点でカウンターがラップ（オーバーフロー）し、鍵流が同じブロックから繰り返し開始されるようなIVを入力できる。 ストリームの検証: ストリームの検証は2回行われる。1回は で、もう1回はバイト処理時に行われる。ポータブルな は、長さの超過したリクエストを「CTR/SECモード範囲外」というエラーで拒否する。ネイティブな単一ブロックパスにはエントリポイントが1つしかなく、そのすべての検証を完了する必要があるが、IVによって駆動されるカウンターの範囲はチェックされない。もしこれが入力全体を繰り返される鍵流で暗号化し、その後に完全な成功長を報告して成功として扱った場合、脆弱性となる。 結果: メッセージの2つのセグメントは、したがって同じ鍵流で暗号化される。これらのXOR演算結果は、2つのプレーンテキストのXORと同じになるため、暗号文のみを保持する任意の者が、標準的な手法でそれらを復元できる。呼び出し元は何らかのエラーが発生したことを示す信号（例外や、要求された長さと一致しない返却長さ）を発していない。 影響範囲 影響を受けるバージョン: BC-LTS 2.73.13 以前（2.73.4 以降）、ネイティブサポートが有効化された Intel プラットフォーム上。 プラットフォームの影響: Java 8 以降、ネイティブライブラリを使用する x86 および x86-64 アーキテクチャ。 影響を受けないもの: Java 用 Bouncy Castle (bcprov) は影響を受けない。これはネイティブ実装を同梱しておらず、パケット暗号は LTS リリース版にのみ存在する。 修正方案 修正バージョン: BC-LTS 2.73.13。 修正措置: は、出力前にカウンター範囲を事前計算するようになった。1〜3バイトのカウンターの場合、アドレス指定可能なブロック数を計算し、長さの超過したリクエストを「CTR/SECモード範囲外」として拒否する。これはポータブル実装と一致しており、操作はフェイルセーフであり、正しく変換されなかったバイトについては決して成功を報告しない。4バイト以上のカウンターは Java の 長さでは消費（オーバーフロー）されず、また16バイトの完全なIVではカウンター範囲が呼び出し元の責任となるため、影響を受けない。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-71884: Bouncy Castle CTR Mode Key Stream Reuse Vulnerability

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-71884: Bouncy Castle CTR Mode Key Stream Reuse Vulnerability

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！