CVE-2026-77696

Résumé du problème : la génération de signatures SM2 utilise une arithmétique à temps non constant sur des valeurs secrètes, créant un canal auxiliaire temporel. Résumé de l’impact : un attaquant capable de mesurer les temps de signature SM2 peut apprendre des informations sur le nonce secret propre à chaque signature, ce qui, après de nombreuses signatures, peut conduire, via une attaque par réseau / le problème du nombre caché, à la récupération de la clé privée. CWE : CWE-208 : Écart temporel observable Description : la génération de signatures SM2 calcule la valeur de signature à l’aide d’opérations BIGNUM à temps variable sur le nonce secret et la clé privée, de sorte que le temps nécessaire pour produire une signature SM2 dépend de ces valeurs secrètes, créant un canal auxiliaire temporel. Les applications effectuant la génération de signatures SM2 sont affectées sur toutes les plateformes. Impact FIPS : aucun SM2 n’est pas un algorithme FIPS.