Falhas do tipo CWE-325

59 resultados

Etapa Criptográfica Obrigatória Omitida

A aplicação implementa um processo criptográfico incompleto, pulando etapas críticas como inicialização de vetores (IV), validação de autenticidade ou geração de chaves. O resultado é um sistema que parece criptografado mas falha na proteção real dos dados, permitindo ataques como descriptografia não autorizada ou falsificação de mensagens.

Exemplo

Um desenvolvedor cria um sistema de senhas onde criptografa dados com AES mas esquece de gerar um IV aleatório a cada operação, sempre usando o mesmo IV codificado. Um atacante consegue descriptografar dados observando padrões nos criptogramas, ou um aplicativo valida assinaturas digitais mas não implementa a verificação final de hash, aceitando qualquer assinatura que tenha o formato correto.

Como mitigar

Revise a implementação criptográfica contra o padrão ou RFC da especificação (NIST, IETF). Use bibliotecas criptográficas estabelecidas (OpenSSL, libsodium, TweetNaCl) em vez de implementação própria, e realize testes de segurança que validem cada etapa do fluxo criptográfico (geração de chaves, IV, MAC/assinatura, verificação).

CVE-2021-3680MEDIUMMissing Cryptographic Step in star7th/showdocEPSS 0.5%CVE-2026-40542HIGHApache HttpClient: SCRAM-SHA-256 mutual authentication bypass may cause the client to accept authentication without proper mutual authentication verificationEPSS 0.5%CVE-2026-42770LOWFFC-DH Peer Validation Uses Attacker-Supplied qEPSS 0.5%CVE-2022-20742HIGHCisco Adaptive Security Appliance Software and Firepower Threat Defense Software IPsec IKEv2 VPN Information Disclosure VulnerabilityEPSS 0.4%CVE-2022-20793MEDIUMCisco Touch 10 Device Insufficient Identity Verification VulnerabilityEPSS 0.4%CVE-2023-46129HIGHxkeys Seal encryption used fixed key for all encryptionEPSS 0.4%CVE-2026-45446MEDIUMIncorrect Tag Processing for Empty Messages in AES-GCM-SIV and AES-SIV modesEPSS 0.4%CVE-2022-1279MEDIUMInsecure EBICS messages encryption implementation in ebics-java/ebics-java-client could allow an adjacent attacker to decrypt EBICS payloadsEPSS 0.4%CVE-2022-29229MEDIUMMissing Cryptographic Step in cassprojectEPSS 0.3%CVE-2020-10702MEDIUMA flaw was found in QEMU in the implementation of the Pointer Authentication (PAuth) support for ARM introduced in version 4.0 and fixed in EPSS 0.3%CVE-2025-3938MEDIUMMissing Cryptographic StepEPSS 0.3%CVE-2026-42246HIGHnet-imap vulnerable to STARTTLS stripping via invalid response timingEPSS 0.3%CVE-2023-34471MEDIUMMissing Cryptographic StepEPSS 0.3%CVE-2026-4601CRITICALVersions of the package jsrsasign before 11.1.1 are vulnerable to Missing Cryptographic Step via the KJUR.crypto.DSA.signWithMessageHash proEPSS 0.3%CVE-2022-24116CRITICALCertain General Electric Renewable Energy products have inadequate encryption strength. This affects iNET and iNET II before 8.3.0.EPSS 0.3%CVE-2025-58359MEDIUMfrost-core: refresh shares with smaller min_signers will reduce group securityEPSS 0.3%CVE-2025-30147HIGHALTBN128_ADD, ALTBN128_MUL, ALTBN128_PAIRING precompile functions do not check if points are on curveEPSS 0.3%CVE-2026-4258HIGHVersions of the package sjcl before 1.0.9 are vulnerable to Improper Verification of Cryptographic Signature due to missing point-on-curve vEPSS 0.2%CVE-2024-55655LOWsigstore-python has insufficient validation of integration timestamp during verificationEPSS 0.2%CVE-2026-58638MEDIUMWindows Boot Loader Security Feature Bypass VulnerabilityEPSS 0.2%