CVE-2026-65630 in jose
要約
〜によって VulDB • 2026年10月26日
potatosalad joseにおけるObservable Timing Discrepancy（観測可能なタイミングの不一致）脆弱性により、純粋なErlang実装であるCurve25519フォールバック内のタイミングサイドチャネルを通じて、長期X25519秘密鍵の回復が可能となります。
純粋なErlangによるX25519実装は、clampedされたプライベートスカラーの各ビットに基づいて分岐する再帰型モンゴメリーラダー（jose_jwa_x25519:curve25519/2）を用い、秘密のプライベートキーに対するスカラー乗算を実行します。このラダーにおけるステップごとの操作（jose_jwa_x25519:montgomery_add/3およびjose_jwa_x25519:montgomery_double/1）とフィールド逆元計算は、値に依存するErlangの多倍長演算（乗算、剰余、モジュラー指数化）から構築されています。ラダーは操作数でバランスが取れており固定された254ステップですが、各ステップで処理される具体的な整数値、したがって実行時間は秘密スカラーに依存します。そのため、公開エントリポイントであるjose_jwa_x25519:scalarmult/2、jose_jwa_x25519:x25519/2、jose_jwa_x25519:x25519_base/1、およびjose_jwa_x25519:sk_to_pk/1の実行時間は秘密鍵の関数となります。
この経路は公開APIから到達可能であり、特にサービスが長期X25519キーを使用して攻撃者が提供したECDH-ES（JWE）メッセージを復号する際に顕著です（例：jose_jwa_curve25519:x25519_shared_secret/2およびラダーに至るJOSE.JWK.box_decrypt_ecdh_es/2）。攻撃者が暗号文を送信し、復号のタイミングを測定できる場合、原理的には秘密鍵をビット単位で回復でき、X25519が設計時に提供していた耐性を無効化します。キーの回復は、それによって保護されるすべてのデータの機密性と真正性を侵害します。
本問題はjose: 1.10.0から1.11.13未満に影響されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.