CVE-2026-75803 in OpenSSL
Résumé
par VulDB • 25/08/2026
Résumé du problème : La déchiffrement ChaCha20-Poly1305 et AES-OCB avec un texte chiffré vide peut indiquer une réussite sans vérifier la balise d'authentification fournie lorsque l'opération est finalisée en appelant la fonction EVP_Cipher().
Résumé de l'impact : Les applications qui appellent EVP_Cipher() sur un texte chiffré vide et s'attendent à ce que l'appel vérifie la balise AEAD peuvent accepter des messages falsifiés.
CWE : CWE-354 (Validation incorrecte de la valeur de contrôle d'intégrité)
Description : L'appel API EVP_Cipher() pour les chiffrements AEAD se comporte comme un appel unique de chiffrement et de déchiffrement. Il vérifie également la balise AEAD après l'opération de déchiffrement. Cependant, pour les chiffrements AES-OCB et ChaCha20-Poly1305, il a sauté la vérification de la balise AEAD lorsqu'un texte chiffré vide était passé à la fonction. Les appelants de cette fonction pourraient croire qu'un retour réussi indique une balise AEAD valide pour ces chiffrements, même lorsque cela n'a pas été véritablement validé dans ce cas.
Impact FIPS : non Les modules FIPS des versions 4.0, 3.6, 3.5, 3.4 et 3.0 ne sont pas affectés par cette CVE car les algorithmes concernés ne sont pas approuvés par le FIPS et donc pas implémentés dans le module FIPS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.