Fallos del tipo CWE-1240

20 resultados

Uso de primitiva criptográfica com implementação de risco

A aplicação usa uma função criptográfica (hash, cifra, gerador de números aleatórios) mas implementa-a de forma insegura, desviando do padrão estabelecido. O risco está em confiar que a implementação caseira ou desviante é segura quando não é: pode ter falhas matemáticas, problemas de timing, ou derivação de chaves fraca.

Ejemplo

Um desenvolvedor implementa seu próprio gerador de números pseudoaleatórios para criar tokens de sessão, usando apenas o timestamp e um número sequencial. Parece 'criptografia', mas é previsível e pode ser facilmente adivinado ou repetido por um atacante.

Cómo mitigar

Use bibliotecas criptográficas estabelecidas e auditadas (OpenSSL, BoringSSL, libsodium, Go crypto/rand) em vez de implementações próprias. Respeite os padrões de cada primitiva: se usar RSA, siga PKCS#1 v2.1; se gerar aleatório, use CSPRNG. Revise código crítico com especialistas em criptografia antes de deploy.

CVE-2026-29146HIGHApache Tomcat: EncryptInterceptor vulnerable to padding oracle attack by defaultEPSS 6.3%CVE-2025-29808MEDIUMWindows Cryptographic Services Information Disclosure VulnerabilityEPSS 0.5%CVE-2024-0220HIGHB&R products use insufficient communication encryptionEPSS 0.4%CVE-2025-24802HIGHSoundness issue with Plonky2 look up tablesEPSS 0.3%CVE-2025-62514HIGH`libparsec_crypto` does not check for weak order point of curve 25519EPSS 0.3%CVE-2023-51392MEDIUMSilicon Labs EFR32xxx parts with classic key storage do not use hardware accelerated AES-CCMEPSS 0.2%CVE-2024-0323CRITICALFTP uses unsecure encryption mechanismsEPSS 0.2%CVE-2025-22475LOWDell PowerProtect DD, versions prior to DDOS 8.3.0.0, 7.10.1.50, and 7.13.1.10 contains a use of a Cryptographic Primitive with a Risky ImplEPSS 0.2%CVE-2025-53960MEDIUMApache StreamPark: Uses the user’s password as the secret keyEPSS 0.2%CVE-2025-64647MEDIUMMultiple Vulnerabilities in IBM Concert SoftwareEPSS 0.2%CVE-2026-50303MEDIUMWindows Key Guard Security Feature Bypass VulnerabilityEPSS 0.2%CVE-2025-58720HIGHWindows Cryptographic Services Information Disclosure VulnerabilityEPSS 0.2%CVE-2025-29779MEDIUMPost-Quantum Secure Feldman's Verifiable Secret Sharing has Inadequate Fault Injection Countermeasures in `secure_redundant_execution`EPSS 0.2%CVE-2026-22705MEDIUMRustCrypto: Signatures has timing side-channel in ML-DSA decompositionEPSS 0.2%CVE-2025-14505MEDIUMElliptic Cryptanalysis vulnerability when `k` has leading zerosEPSS 0.2%CVE-2026-27017LOWuTLS has a Chrome Parrot Fingerprint Vulnerability due to GREASE ECH Cipher Suite MismatchEPSS 0.2%CVE-2026-44410LOWFunction Abusement Vulnerability in ZTE ZXUniPOS NDS-LTEEPSS 0.1%CVE-2024-37137LOWDell Key Trust Platform, v3.0.6 and prior, contains Use of a Cryptographic Primitive with a Risky Implementation vulnerability. A local privEPSS 0.1%CVE-2026-46654HIGHPlonky3 MultiField32Challenger: transcript malleability and challenge entropy lossEPSS 0.1%CVE-2025-46424MEDIUMDell CloudLink, versions prior to 8.2, contain use of a Cryptographic Primitive with a Risky Implementation vulnerability. A high privilegedEPSS 0.1%