Plataforma
cpp
Componente
botan
Corrigido em
2.3.1
CVE-2026-32877 é uma vulnerabilidade no Botan que causa um heap over-read durante a decriptação SM2. O código que verifica o valor do código de autenticação (C3) não verifica o comprimento esperado. Afeta versões 2.3.0 até antes da 3.11.0. A vulnerabilidade foi corrigida na versão 3.11.0.
A vulnerabilidade CVE-2026-32877 afeta a biblioteca de criptografia Botan nas versões de 2.3.0 até a 3.10.x. Durante o processo de descriptografia SM2, existe uma falha na verificação do código de autenticação (C3). O código não valida o comprimento esperado do valor codificado antes de realizar a comparação. Isso permite que um atacante, com um texto cifrado malicioso, provoque uma leitura excessiva da memória (heap over-read) de até 31 bytes. Esta leitura não autorizada pode resultar em um travamento da aplicação (crash) ou, potencialmente, em um comportamento indefinido com implicações de segurança.
A exploração desta vulnerabilidade requer o controle sobre o texto cifrado SM2 utilizado na aplicação. Um atacante pode criar um texto cifrado malicioso projetado para desencadear a leitura excessiva da memória durante o processo de descriptografia. A dificuldade da exploração depende da capacidade do atacante de influenciar o texto cifrado e da sensibilidade dos dados que estão sendo protegidos. Embora não tenham sido relatados casos de exploração na natureza, a gravidade da vulnerabilidade justifica uma atualização imediata.
Status do Exploit
EPSS
0.05% (percentil 17%)
CISA SSVC
Vetor CVSS
A solução para esta vulnerabilidade é atualizar a biblioteca Botan para a versão 3.11.0 ou superior. Esta versão inclui uma correção que valida corretamente o comprimento do valor codificado antes da comparação, prevenindo a leitura excessiva da memória. Recomenda-se fortemente que todos os usuários de Botan nas versões afetadas apliquem esta atualização o mais rápido possível para mitigar o risco de exploração. Além disso, recomenda-se revisar as dependências da aplicação para garantir que todas as bibliotecas estejam atualizadas e protegidas contra vulnerabilidades conhecidas.
Atualize a biblioteca Botan para a versão 3.11.0 ou superior. Isso corrigirá a vulnerabilidade de leitura fora dos limites no processo de descriptografia SM2. A atualização pode ser realizada baixando a nova versão do site oficial ou utilizando o gerenciador de pacotes correspondente.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
As versões do Botan de 2.3.0 até a 3.10.x são vulneráveis a esta vulnerabilidade.
Você pode verificar a versão do Botan que está usando consultando a documentação do seu projeto ou utilizando ferramentas de gerenciamento de dependências.
Se não puder atualizar imediatamente, considere implementar medidas de mitigação adicionais, como a validação de entradas e a limitação da exposição da biblioteca.
Algumas ferramentas de análise de segurança estática e dinâmica podem detectar esta vulnerabilidade. Consulte a documentação de suas ferramentas de segurança para obter mais informações.
SM2 é um algoritmo de criptografia de chave pública desenvolvido na China, utilizado para assinaturas digitais e criptografia.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.