Falhas do tipo CWE-1240

20 resultados

Uso de primitiva criptográfica com implementação arriscada

Ocorre quando o código utiliza uma função ou biblioteca de criptografia que, apesar de ser uma primitiva conhecida (como AES ou SHA), possui uma implementação fraca, incorreta ou desatualizada. O risco está na confiança falsa: o desenvolvedor acredita estar usando criptografia forte, mas a implementação tem falhas (como falta de inicialização segura, vulnerabilidade a timing attacks, ou uso de hardware inseguro) que comprometem a segurança dos dados.

Exemplo

Uma aplicação que implementa seu próprio algoritmo AES em vez de usar a biblioteca do SO, ou usa uma versão obsoleta do OpenSSL com padding incorreto no modo CBC. O resultado é que dados 'criptografados' são recuperáveis com esforço muito menor do que deveria ser possível.

Como mitigar

Use apenas bibliotecas de criptografia maduras e bem auditadas (como libsodium, boringssl, cryptography do Python). Mantenha dependências atualizadas, evite reimplementar algoritmos, valide que a implementação segue padrões reconhecidos (FIPS, se crítico), e realize testes com ferramentas de análise estática para detectar padrões perigosos.

CVE-2026-29146HIGHApache Tomcat: EncryptInterceptor vulnerable to padding oracle attack by defaultEPSS 6.3%CVE-2025-29808MEDIUMWindows Cryptographic Services Information Disclosure VulnerabilityEPSS 0.5%CVE-2024-0220HIGHB&R products use insufficient communication encryptionEPSS 0.4%CVE-2025-24802HIGHSoundness issue with Plonky2 look up tablesEPSS 0.3%CVE-2025-62514HIGH`libparsec_crypto` does not check for weak order point of curve 25519EPSS 0.3%CVE-2023-51392MEDIUMSilicon Labs EFR32xxx parts with classic key storage do not use hardware accelerated AES-CCMEPSS 0.2%CVE-2024-0323CRITICALFTP uses unsecure encryption mechanismsEPSS 0.2%CVE-2025-22475LOWDell PowerProtect DD, versions prior to DDOS 8.3.0.0, 7.10.1.50, and 7.13.1.10 contains a use of a Cryptographic Primitive with a Risky ImplEPSS 0.2%CVE-2025-53960MEDIUMApache StreamPark: Uses the user’s password as the secret keyEPSS 0.2%CVE-2025-64647MEDIUMMultiple Vulnerabilities in IBM Concert SoftwareEPSS 0.2%CVE-2026-50303MEDIUMWindows Key Guard Security Feature Bypass VulnerabilityEPSS 0.2%CVE-2025-58720HIGHWindows Cryptographic Services Information Disclosure VulnerabilityEPSS 0.2%CVE-2025-29779MEDIUMPost-Quantum Secure Feldman's Verifiable Secret Sharing has Inadequate Fault Injection Countermeasures in `secure_redundant_execution`EPSS 0.2%CVE-2026-22705MEDIUMRustCrypto: Signatures has timing side-channel in ML-DSA decompositionEPSS 0.2%CVE-2025-14505MEDIUMElliptic Cryptanalysis vulnerability when `k` has leading zerosEPSS 0.2%CVE-2026-27017LOWuTLS has a Chrome Parrot Fingerprint Vulnerability due to GREASE ECH Cipher Suite MismatchEPSS 0.2%CVE-2026-44410LOWFunction Abusement Vulnerability in ZTE ZXUniPOS NDS-LTEEPSS 0.1%CVE-2024-37137LOWDell Key Trust Platform, v3.0.6 and prior, contains Use of a Cryptographic Primitive with a Risky Implementation vulnerability. A local privEPSS 0.1%CVE-2026-46654HIGHPlonky3 MultiField32Challenger: transcript malleability and challenge entropy lossEPSS 0.1%CVE-2025-46424MEDIUMDell CloudLink, versions prior to 8.2, contain use of a Cryptographic Primitive with a Risky Implementation vulnerability. A high privilegedEPSS 0.1%