Cloak: Fehlender Integritätsschutz in AES-CTR erlaubt Fälschung von Chiffrat
Zusammenfassung
Die Elixir-Bibliothek cloak verschlüsselt gespeicherte Werte mit AES-256 im CTR-Modus, ergänzt aber keinen Message Authentication Code. Ein Angreifer mit Schreibzugriff auf den verschlüsselten Datenspeicher kann Bits im gespeicherten Chiffrat kippen, sodass es zu einem gewählten Wert derselben Länge entschlüsselt wird, ohne Schlüssel und ohne dass die Anwendung die Änderung erkennt. Voraussetzung ist Schreibzugriff auf die Datenbank oder einen Replikat, zum Beispiel über SQL-Injection, sowie die Kenntnis oder eine gute Vermutung des gespeicherten Klartextes.
Betroffen
- cloak ab 0.1.0-pre (gemäss CNA- und OSV-Eintrag)
- Betroffene Chiffren: Cloak.Ciphers.AES.CTR und Cloak.Ciphers.Deprecated.AES.CTR
- Konfigurationen, die nur Cloak.Ciphers.AES.GCM verwenden, sind nicht betroffen
Behoben in
Unbekannt. Zum Zeitpunkt der geprüften Quellen ist keine korrigierte Version veröffentlicht.
Umgehung
- Cloak.Ciphers.AES.GCM als Standard-Chiffre setzen und bestehende Werte neu verschlüsseln, zum Beispiel mit dem Task cloak.migrate.ecto aus cloak_ecto
- Nach der Migration Cloak.Ciphers.AES.CTR und Cloak.Ciphers.Deprecated.AES.CTR aus der Vault-Konfiguration entfernen, damit Chiffrat im CTR-Format nicht mehr entschlüsselt wird
- AES-GCM authentisiert das Chiffrat und weist veränderte Werte zurück
Ausnutzung
- CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: nein, technische Auswirkung: teilweise
- Im CNA-Eintrag ist ein Proof of Concept beschrieben; es wurden keine Berichte über Ausnutzung in der Praxis gefunden
Unsere Empfehlung
- Elixir-Softwarelieferanten oder Entwickler fragen, ob der Vault AES-CTR verwendet
- Falls ja, Migration auf AES-GCM planen und bestehende Daten neu verschlüsseln; Priorität mittel
- Nach der Migration prüfen, dass die CTR-Chiffren nicht mehr in der Vault-Konfiguration enthalten sind
- Schreibzugriff auf Datenbank und Replikate einschränken und auf unerwartete Änderungen an verschlüsselten Feldern überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CNA record CVE-2026-95105 cna.erlef.org
- OSV record EEF-CVE-2026-95105 osv.dev
- Introducing commit 2bd1701 github.com
- Maintainer issue #132 on AES-CTR deprecation github.com
- cloak repository github.com
- Strix CVE listing www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.