У находок BoringSSL разные статусы. Ошибка mpc-lib требует уже скомпрометированной доли и знания chain code; сама по себе она не раскрывает полный ключ.
BoringSSL: пять находок с разными статусами
Уведомление VU#410595 опубликовано 14 октября 2026 года и уточнено 27 октября. Оно касается Name Constraints — ограничений, которые задают, для каких имён подчинённый удостоверяющий центр вправе выпускать сертификаты. Исследовательские находки относятся к обработке разных форм SAN, то есть имён в сертификате.
Две находки исправлены коммитом 5774eca ещё 4 марта 2026 года. Ещё одна принята к рассмотрению, одна оспаривается, одна отклонена.
Затронутость зависит от используемого пути проверки и формы имени. Наличие BoringSSL в составе приложения само по себе не говорит, что оно подвержено описанным проблемам. То же относится к Chrome и Android.
mpc-lib: утрата доли могла затронуть уровни выше
26 октября CERT/CC опубликовал VU#701544 об ошибке CVE-2026-90975 в библиотеке Fireblocks mpc-lib. Она относится к hardened derivation — механизму вывода ключей, который должен изолировать уровни их иерархии. При отсутствии закрытого родительского ключа реализация могла продолжать операцию небезопасным способом.
По описанию CERT/CC, обладатель скомпрометированной нижестоящей доли подписанта и соответствующего chain code мог восстановить вышестоящие доли того же участника. При этом первичный слой MPC по-прежнему не позволяет получить полный закрытый ключ из долей одного участника. В уведомлении не утверждается, что эта ошибка привела к краже средств.
На момент проверки в карточке не было доступного исправления производителя. В качестве мер снижения риска CERT/CC называет сохранение chain code в секрете и пересмотр предположения, что уровни иерархии долей остаются изолированными.
Что выяснить у поставщика
Для продукта с BoringSSL нужен ответ о конкретной реализации проверки сертификатов: какие имена она обрабатывает, применимы ли к ней записи VU#410595 и вошли ли нужные исправления в установленную сборку. Одного номера версии сторонней библиотеки для такого ответа может оказаться недостаточно.
Для интеграции с mpc-lib важны используемая схема вывода ключей, доступность chain code и связи между долями по иерархии. Если одна доля уже утрачена, последствия нужно оценивать вместе с поставщиком и специалистом по криптографии.
Самостоятельно менять вывод ключей в действующем хранилище опасно: ошибка совместимости может лишить доступа к активам. Сначала следует согласовать исправление и проверить восстановление в изолированной среде.
Редакция EALP · Обновлено