🔴 CVE-2026-74900: Critical Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-74900 betrifft openssl_encrypt in Versionen vor 1.4.0 und wird mit dem kritischen CVSS-Score von 9.8 bewertet. Ein logischer Fehler in der Datei pqc.py führt dazu, dass KEM-Decapsulation-Fehler stillschweigend in einen Simulationsmodus zurückfallen. Dies ermöglicht Angreifern mit Zugriff auf nur 16 Bytes des privaten Schlüssels, das gemeinsame Geheimnis zu berechnen und alle Chiffretexte zu entschlüsseln.

Betroffene Systeme

Folgende Systeme und Komponenten sind gefährdet:

• openssl_encrypt Versionen < 1.4.0
• Systeme mit aktivierter Post-Quantum-Cryptography (PQC) Integration
• Anwendungen, die KEM-basierte Verschlüsselung nutzen

Technische Details

Der Fehler liegt in der Behandlung fehlgeschlagener KEM-Decapsulation-Operationen. Statt einen Fehler zu werfen, fällt das System automatisch in einen deterministischen Simulationsmodus zurück. Das generierte gemeinsame Geheimnis basiert dabei nur auf 16 Bytes des privaten Schlüssels und öffentlich verfügbaren Encapsulation-Daten.

Die Schwachstelle ermöglicht einen Angriff, bei dem ein Angreifer:

1. 16 Bytes des privaten Schlüssels beschafft
2. Den öffentlichen encapsulierten Schlüssel (öffentlich zugänglich) nutzt
3. Deterministisch das gemeinsame Geheimnis rekonstruiert
4. Alle damit verschlüsselten Daten entschlüsselt

Der fehlende Error-Handling-Mechanismus ist die Wurzelursache dieser kritischen Sicherheitslücke. KEM-Fehler sollten niemals stillschweigend behandelt werden.

Empfohlene Massnahmen

• Sofortige Maßnahmen: Deaktivierung von PQC-Features bis zur Verfügbarkeit eines Patches
• Überwachung: Logs auf anomale KEM-Fehler überprüfen
• Schlüsselverwaltung: Private Schlüssel mit verstärktem Schutz sichern
• Update: Sobald Version 1.4.0 verfügbar ist, sofort einspielen

Bewertung

CVSS 9.8 (Critical): Diese Einstufung ist gerechtfertigt durch vollständigen Verlust der Vertraulichkeit, hohe Angriffskomplexität mit Netzwerkvektor und Fehlen eines verfügbaren Patches. Die Kombination aus Zugänglichkeit und Wirksamkeit macht diese Schwachstelle zu einer sofortigen Priorität für alle betroffenen Systeme.

„`