В криптографических алгоритмах Microchip AN1044, AN953 и SW300052 выявлена уязвимость неверной защиты физических боковых каналов. Атака позволяет извлекать чувствительные данные путём анализа побочных физических процессов работы устройства. Уровень критичности — средний (CVSS 5.6).
Компания Microchip сообщила об уязвимости CVE-2026-89172, затрагивающей реализацию криптографических алгоритмов в нескольких её продуктах. Проблема относится к классу атак по сторонним (боковым) каналам и связана с недостаточной защитой физических параметров работы устройства, которые могут раскрыть секретную информацию.
Подробности
Уязвимость затрагивает следующие продукты Microchip:
- AN1044 — включительно по версию A;
- AN953 — включительно по версию A;
- SW300052 — включительно по версию 2.6.
Тип уязвимости — Improper protection of physical side channels (неверная защита физических боковых каналов). Подобные атаки предполагают анализ косвенных физических характеристик работы криптосистемы, таких как энергопотребление, электромагнитное излучение или время выполнения операций, что в ряде сценариев позволяет восстановить ключи или другие конфиденциальные данные без прямого взлома алгоритма.
Уязвимости присвоен базовый балл CVSS 5.6, что соответствует среднему уровню критичности. Для эксплуатации обычно требуется физический доступ к устройству либо его близкое расположение, а также специализированное оборудование, что снижает практическую вероятность массовых атак, но не исключает рисков для сценариев, где устройство находится в руках злоумышленника.
Что делать
Рекомендации по устранению и снижению рисков:
- обратиться к официальным рекомендациям и обновлениям Microchip для затронутых продуктов AN1044, AN953 и SW300052 и установить доступные исправления;
- если обновление на текущий момент недоступно, рассмотреть компенсирующие меры: ограничение физического доступа к устройствам, использование защищённых корпусов и экранирования, контроль цепочки поставок и условий эксплуатации;
- провести оценку рисков для систем, где применяются данные алгоритмы, особенно если устройства могут находиться вне контролируемой зоны;
- следить за публикациями производителя и обновлениями записи CVE на предмет новых версий и деталей по митигациям.
Итог: CVE-2026-89172 — уязвимость среднего уровня, связанная с недостаточной защитой от атак по боковым каналам в криптографических реализациях Microchip. Наиболее эффективная мера — своевременное обновление затронутых продуктов до версий, содержащих исправление, а при его отсутствии — усиление физической защиты устройств.
Источник: CVE Project (cvelistV5)
