Weaknesses of type CWE-1204

5 results

Geração de Vetor de Inicialização (IV) Fraco

Quando um algoritmo criptográfico em modo CBC, CTR ou similar precisa de um vetor de inicialização (IV), usar um IV previsível, reutilizado ou gerado com baixa entropia compromete a segurança do cifrador. Um atacante pode recuperar o texto claro ou falsificar mensagens, mesmo que a chave seja forte.

Example

Um sistema usa AES-CBC com um IV fixo ou derivado de um contador simples (0, 1, 2...) para cada mensagem. Um adversário observa dois cifrados com o mesmo IV, descobre padrões no texto claro XORado e decodifica as mensagens.

How to mitigate

Gere o IV aleatoriamente usando uma fonte criptográfica segura (SecureRandom, /dev/urandom) a cada operação de cifra e transmita-o junto com o texto cifrado. Para modos como GCM, use um nonce único; evite reutilizar o mesmo IV com a mesma chave.

CVE-2026-5087HIGHPAGI::Middleware::Session::Store::Cookie versions through 0.001003 for Perl generates random bytes insecurelyEPSS 0.3%CVE-2026-25998HIGHstrongMan vulnerable to private credential recovery due to key and counter reuseEPSS 0.3%CVE-2022-26083HIGHGeneration of weak initialization vector in an Intel(R) IPP Cryptography software library before version 2021.5 may allow an unauthenticatedEPSS 0.2%CVE-2023-2747LOWUninitialized IV in Silicon Labs SE FW v2.0.0 through v 2.2.1 for internally stored dataEPSS 0.2%CVE-2025-0714MEDIUMInsecure storage of sensitive information in MobaXTerm <25.0.EPSS 0.2%