// For flags

CVE-2021-43398

 

Severity Score

5.3
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

2
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

-
*SSVC
Descriptions

Crypto++ (aka Cryptopp) 8.6.0 and earlier contains a timing leakage in MakePublicKey(). There is a clear correlation between execution time and private key length, which may cause disclosure of the length information of the private key. This might allow attackers to conduct timing attacks. NOTE: this report is disputed by the vendor and multiple third parties. The execution-time differences are intentional. A user may make a choice of a longer key as a tradeoff between strength and performance. In making this choice, the amount of information leaked to an adversary is of infinitesimal value

** EN DISPUTA ** Crypto++ (también se conoce como Cryptopp) versiones 8.6.0 y anteriores, contienen un filtrado de tiempo en la función MakePublicKey(). Se presenta una clara correlación entre el tiempo de ejecución y la longitud de la clave privada, que puede causar una divulgación de la información de la longitud de la clave privada. Esto podría permitir a atacantes conducir ataques de tiempo. NOTA: este informe es discutido por el vendedor y por múltiples terceros. Las diferencias de tiempo de ejecución son intencionadas. Un usuario puede elegir una clave más larga como compensación entre la fuerza y el rendimiento. Al hacer esta elección, la cantidad de información filtrada a un adversario es de valor infinitesimal

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
Low
Privileges Required
None
User Interaction
None
Scope
Unchanged
Confidentiality
Low
Integrity
None
Availability
None
Attack Vector
Network
Attack Complexity
Low
Authentication
None
Confidentiality
Partial
Integrity
None
Availability
None
* Common Vulnerability Scoring System
SSVC
  • Decision:-
Exploitation
-
Automatable
-
Tech. Impact
-
* Organization's Worst-case Scenario
Timeline
  • 2021-11-04 CVE Reserved
  • 2021-11-04 CVE Published
  • 2024-08-04 CVE Updated
  • 2024-08-04 First Exploit
  • 2024-10-10 EPSS Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
CWE
  • CWE-203: Observable Discrepancy
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Cryptopp
Search vendor "Cryptopp"
 Crypto\+\+
Search vendor "Cryptopp" for product "Crypto\+\+"
 <= 8.6.0
Search vendor "Cryptopp" for product "Crypto\+\+" and version " <= 8.6.0"
-
Affected