CVE-2026-77696
更新 2026.10.02 16:55
AIによる自動要約です。人によるレビューはまだ完了していません。最新情報は記事内の公式出典をご確認ください。
概要
CVE-2026-77696は、SM2署名生成におけるタイミングサイドチャネルの脆弱性です(CWE-208: Observable Timing Discrepancy)。重大度はLow、公開日は2026年9月29日です。SM2署名生成時に、秘密ノンスと秘密鍵に対して可変時間のBIGNUM演算が行われるため、署名生成時間が秘密値に依存します。SM2署名時間を測定できる攻撃者は秘密ノンスの情報を得る可能性があり、多数の署名を収集すれば、格子攻撃/Hidden Number Problem攻撃により秘密鍵を復元できる可能性があります。発見者はVladimir Tokarev氏です。
影響対象
参考情報にOpenSSL Advisoryが挙げられています。影響を受ける版は、4.0.0以上4.0.3未満、3.6.0以上3.6.5未満、3.5.0以上3.5.9未満、3.4.0以上3.4.8未満、3.0.0以上3.0.23未満、1.1.1以上1.1.1zj未満です。SM2署名生成を行うアプリケーションが、全プラットフォームで影響を受けます。FIPSへの影響はありません(SM2はFIPSアルゴリズムではないため)。
修正版
影響範囲の上限から、修正版は4.0.3、3.6.5、3.5.9、3.4.8、3.0.23、1.1.1zjとなります。修正はIgor Ustinov氏とViktor Dukhovni氏が開発しました。git commitが示されているのは4.0.3、3.6.5、3.5.9、3.4.8のみです。
回避策
未確認。
不明点
3.0.23と1.1.1zjの修正コミットの所在、CVSSスコア、実際の悪用の有無は未確認です。
対象と修正情報
| 緊急度 | 低 |
|---|---|
| 修正版の提供状況 | 修正版あり |
| 影響範囲 | from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj |
| 修正版 | 4.0.3 / 3.6.5 / 3.5.9 / 3.4.8 / 3.0.23 / 1.1.1zj |
| 回避策 | 未確認 |
| 悪用状況 | 未確認 |
公式情報からの抽出根拠
- 緊急度：Severity Low
- 影響範囲：Affected from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj References
- 修正版：from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj
- 修正状況：from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj
緊急度は提供元の分類、またはCVSS基本値に基づきます。製品や版による条件は公式出典をご確認ください。
CVE：CVE-2026-77696
記事更新日時：2026/10/02 16:55／版：1