Mbed TLS CVE-2025-52496: AESNI Race Condition Leading to Side-Channel Key Disclosure

重要な脆弱性情報 脆弱性タイトル AESNI サポート検出における競合状態 CVE 番号 CVE-2025-52496 公開日 2025 年 6 月 30 日 影響を受けるバージョン Mbed TLS の 3.6.3 以前のすべてのバージョン 影響を受けないバージョン Mbed TLS 3.6.4 以降 影響 サイドチャネルによる AES キーの漏洩と GCM の偽造 深刻度 MEDIUM（中程度） 報告者 Bug reported by Solar Designer 脆弱性の説明 AESNI 命令をサポートする x86 または amd64 プロセッサ上では、Mbed TLS はこの命令を使用して AES 暗号化と復号を実行できます。これらの命令がない場合、ライブラリはポータブルなテーブルベースのアルゴリズム実装を使用します。ライブラリ関数 は、AESNI および CLMUL の存在を検出します。この関数が初めて呼び出されると、プロセッサの機能を照会します。関数は結果をグローバル変数 にキャッシュし、後続の呼び出しで再利用します。また、グローバル変数 を使用して、結果が充填済みであることを示します。 簡略化したコードは以下の通りです： コンパイラの最適化により、 内のコンパイル済みプログラムでは、変数 の更新前に変数 へのストア命令が実行されることがあります。その結果、マルチスレッドプログラムにおいて以下の競合状態が発生する可能性があります： 1. スレッド 1 が AES または GCM 操作を開始し、 を呼び出します。これは関数の初回呼び出しです。関数は誤って の更新前に を更新します。 2. スレッド 2 が AES または GCM 操作を開始し、 を呼び出します。この呼び出しでは を読み取り、 に検出結果が含まれていると判断します。しかし、 はまだ初期デフォルト値の 0 を保持しており、これは機能が存在しないことを示します。そのため、スレッド 2 の AES または GCM 操作は、ポータブルなテーブルベースの実装を使用します。 3. スレッド 1 が を更新します。その後、スレッド 1 および後続の呼び出し元は実際のハードウェア機能を使用します。 これはセキュリティ脆弱性です。なぜなら、ポータブルなテーブルベースの AES および GCM 実装はタイミング攻撃などのサイドチャネル攻撃に対して脆弱だからです。 影響 x86 または amd64 プロセッサ上では、攻撃者がマルチスレッドプログラムから AES キーを抽出できる可能性があります。同じ攻撃により、GCM の偽造も可能になります。攻撃者には、以下の二つの能力のうち少なくとも一つが必要です： 被害者スレッドがアクセスするメモリアドレスを検出できる能力。ローカルの特権を持たない攻撃者は通常、キャッシュのタイミング測定を通じてこの能力を持っています。 被害者スレッドの実行を一時停止できる能力。強力なローカル攻撃者であっても、通常はこのような能力を持ちません。ただし、通常の OS 攻撃や SGX エンクレーブの攻撃のような特定の場合には、これが可能になることがあります。 解決策 影響を受けるユーザーは、Mbed TLS 3.6.4 にアップグレードする必要があります。 回避策 AESNI および CLMUL 命令のないプロセッサ上でコードが動作する必要がないユーザーは、構成オプション を使用して Mbed TLS をコンパイルすることができます。このオプションは、AES および GCM のテーブルベース実装を無効にし、ハードウェア加速実装のみを残します。 プログラムインスタンス内の の呼び出しが一度完了すれば、後続の呼び出しは正しい値を使用します。したがって、あるスレッドが他のスレッドが AES 操作を開始する前に AES 操作を実行すれば、プログラムは脆弱性を抱えません。シングルスレッドのプログラムは影響を受けません。 競合状態は、コンパイラが変数の更新を問題のある順序で並べ替えた場合にのみ発生します。私たちは、GCC が高い最適化レベル（-O3、-O2 およびそれ以上）で脆弱なバイナリを生成する傾向があることを観測しました。GCC 7.x 以降または Clang が脆弱なバイナリを生成することはまだ観測していませんが、これはバージョン、最適化レベル、およびプログラムによって異なる可能性があります。GCC 10.x 以降は、 のインラインアセンブリにメモリバリアが含まれているため、安全です。

目標達成すべての支援者に感謝 — 100%達成しました！

Mbed TLS CVE-2025-52496: AESNI Race Condition Leading to Side-Channel Key Disclosure

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Mbed TLS CVE-2025-52496: AESNI Race Condition Leading to Side-Channel Key Disclosure

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！