مسئله و دامنهٔ اثر
این CVE یک مسیر بهینه‌شدهٔ SM2 را روی معماری‌های ARM64 و RISC-V پوشش می‌دهد. زمان اجرا و الگوی دسترسی کش می‌تواند به مقدار محرمانهٔ عملیات وابسته شود. مشاهده‌کنندهٔ مناسب ممکن است از این تفاوت‌ها اطلاعاتی دربارهٔ اسکالر محرمانه به دست آورد. شرط معماری و الگوریتم در این پرونده اساسی است و نمی‌توان آن را به تمام استفاده‌های OpenSSL تعمیم داد.
در امضا، مقدار وابسته به عملیات شامل nonce محرمانه است و در رمزگشایی، کلید خصوصی بلندمدت اهمیت پیدا می‌کند. پیاده‌سازی متأثر از شاخه‌ها و مراجعه به جدول وابسته به بیت‌های محرمانه استفاده می‌کند. طبق سازنده، شاخه‌های 4.0، 3.6، 3.5 و 3.4 روی معماری‌های یادشده در دامنه‌اند؛ 3.0، 1.1.1 و 1.0.2 از این مسئله متأثر نیستند. SM2 الگوریتم FIPS نیست و این مسیر جزو ماژول FIPS نیست. شدت رسمی Low است.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
تشخیص مواجهه در سازمان
موجودی را از نام میزبان فراتر ببرید: معماری واقعی فرایند، تصویر کانتینر، کتابخانهٔ بارشده و استفاده یا عدم استفاده از SM2 باید مشخص شود. روی ناوگان ترکیبی، نتیجهٔ یک ماشین x86 را به گره‌های ARM تعمیم ندهید. سرویس‌های امضا یا رمزگشایی با ورودی کاربران متعدد، و محیط‌هایی که فرایندهای نامطمئن منابع پردازنده را شریک‌اند، به بررسی دقیق‌تر مدل دسترسی نیاز دارند.
آزمون و کاهش ریسک
پس از ارتقا، آزمون سازگاری امضا و رمزگشایی با دادهٔ آزمایشی و کلید غیرتولیدی انجام دهید. حذف الگوریتم بدون بررسی وابستگی‌ها ممکن است ارتباط با سامانه‌های شریک را قطع کند. محدودسازی دسترسی به سرویس و جداسازی بارهای نامطمئن اقدامات دفاعی مکمل‌اند، ولی درمان رمزنگاری محسوب نمی‌شوند. اگر ارزیابی داخلی احتمال افشای کلید را مطرح کرد، برنامهٔ تعویض باید پس از اصلاح مسیر آسیب‌پذیر اجرا شود تا کلید تازه دوباره در معرض همان وضعیت نباشد.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-54875 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
