CVE-2026-77696

Resumen del problema: La generación de firmas SM2 utiliza aritmética que no es de tiempo constante sobre valores secretos, creando un canal lateral de temporización. Resumen del impacto: Un atacante capaz de medir los tiempos de firma SM2 puede obtener información sobre el nonce secreto de cada firma, lo que, tras muchas firmas, puede llevar, mediante un ataque de retículo / Problema del Número Oculto, a recuperar la clave privada. CWE: CWE-208: Discrepancia de temporización observable Descripción: La generación de firmas SM2 calcula el valor de la firma utilizando operaciones BIGNUM de tiempo variable sobre el nonce secreto y la clave privada, por lo que el tiempo necesario para producir una firma SM2 depende de estos valores secretos, creando un canal lateral de temporización. Las aplicaciones que realizan la generación de firmas SM2 están afectadas en todas las plataformas. Impacto en FIPS: no SM2 no es un algoritmo FIPS.