Botan: Integer-Überlauf bei FFI-Blockgrössen-Meldung kann Speicherbeschädigung verursachen
Zusammenfassung
Die Kryptografie-Bibliothek Botan meldet die Blockgrösse einer Blockchiffre über die C-API, ohne beim Umwandeln in int auf Überlauf zu prüfen. Eine Anwendung, die externe Algorithmus-Parameterzeichenketten entgegennimmt und den FFI-Raw-ECB-Modus verwendet, kann von einem Angreifer dazu gebracht werden, die Chiffre Lion mit variabler Blockgrösse auszuwählen. Dadurch wird die gemeldete Grösse abgeschnitten, der Puffer ist zu klein und es kommt zu einer Speicherbeschädigung. Die C++-API sowie häufig verwendete C-API-Modi wie CBC und CTR sind nicht betroffen.
Betroffen
- Botan-Versionen ab 2.1.0 bis vor 3.13.0
- Nur Anwendungen, die den C-FFI-Raw-ECB-Modus mit vom Benutzer wählbaren Algorithmen (Lion) verwenden
- Hinweis: VulDB nennt den Bereich bis 3.12.x; hier wird der Bereich des CNA verwendet
Behoben in
- Botan 3.13.0 (Korrektur in PR #5805 und Commit c6089ab)
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme; das Aktualisieren auf 3.13.0 ist die Korrektur
- Übergangsmassnahmen (nicht Herstellerempfehlung): Nicht zulassen, dass nicht vertrauenswürdige Benutzer Chiffrenamen wählen, eine Algorithmen-Allowlist verwenden, Raw ECB über die C-FFI mit benutzerseitigen Parametern vermeiden
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden
- Keine bekannte Ausnutzung in freier Wildbahn; CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- EPSS: 0.37 % (30. Perzentil)
Unsere Empfehlung
- Systeme und Software mit Botan-Bestandteil inventarisieren und auf Versionen unter 3.13.0 prüfen
- Botan auf 3.13.0 oder das gepatchte Paket des Distributors bzw. Softwareherstellers aktualisieren
- Eigene Entwickler und Softwarehersteller fragen, ob Raw ECB über die C-FFI mit vom Benutzer wählbaren Algorithmen verwendet wird; falls ja, den Patch priorisieren
- Andernfalls als routinemässiges Patchen behandeln
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-c68p-822g-jfvr github.com
- Botan fix pull request #5805 github.com
- Botan fix commit c6089ab github.com
- NixOS tracker: botan3 backport github.com
- Botan news (3.13.0 release) botan.randombit.net
- VulDB entry 428699 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.