Falhas do tipo CWE-1204

5 resultados

Geração de Vetor de Inicialização (IV) Fraco

Ocorre quando um algoritmo criptográfico que depende de um vetor de inicialização (IV) recebe um IV previsível, constante ou mal derivado. Como o IV deve ser único e imprevisto para cada operação, um IV fraco compromete a segurança do cifrador de bloco, permitindo que atacantes recuperem chaves, detectem padrões no criptograma ou reutilizem estados criptográficos.

Exemplo

Um sistema que cifra mensagens de usuários com AES-CBC sempre reutilizando o mesmo IV, ou derivando-o a partir de um timestamp previsível. Um atacante que capture dois criptogramas com o mesmo IV e chave consegue inferir relações entre os textos claros.

Como mitigar

Use um gerador de números aleatórios criptograficamente seguro (ex: /dev/urandom, SecureRandom em Java) para gerar um novo IV aleatório e único a cada operação de cifra. Transmita o IV junto com o criptograma (não é segredo) para que o destinatário consiga decifrar.

CVE-2026-5087HIGHPAGI::Middleware::Session::Store::Cookie versions through 0.001003 for Perl generates random bytes insecurelyEPSS 0.3%CVE-2026-25998HIGHstrongMan vulnerable to private credential recovery due to key and counter reuseEPSS 0.3%CVE-2022-26083HIGHGeneration of weak initialization vector in an Intel(R) IPP Cryptography software library before version 2021.5 may allow an unauthenticatedEPSS 0.2%CVE-2023-2747LOWUninitialized IV in Silicon Labs SE FW v2.0.0 through v 2.2.1 for internally stored dataEPSS 0.2%CVE-2025-0714MEDIUMInsecure storage of sensitive information in MobaXTerm <25.0.EPSS 0.2%