wolfEngine reuses the AES-CCM nonce on TLS 1.2 / DTLS 1.2 records

wolfEngine before 1.4.1 sources the explicit AES-CCM nonce for TLS 1.2 and DTLS 1.2 records from the record input buffer instead of the TLS sequence number carried in the additional authenticated data. Because the record layer leaves the explicit-nonce field for the cipher to populate, the value read is constant across records, so every AES-CCM record within a connection is encrypted under an identical key and nonce pair. Reusing a CCM key and nonce weakens confidentiality (identical keystream across records, so a known record recovers the others) and integrity (authentication tag forgery). Only wolfEngine is affected; wolfProvider is not. AES-GCM under wolfEngine is tracked separately. AES-CCM cipher suites are not enabled by default and must be explicitly selected, which limits exposure. TLS 1.3 and non-TLS use of the cipher are not affected.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 2 Sept 2026, published on 2 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

wolfEngine 1.4.1以前のバージョンでは、TLS 1.2およびDTLS 1.2のレコードに対する明示的なAES-CCMノンスを、追加認証データに含まれるTLSシーケンス番号ではなく、レコードの入力バッファから取得しています。レコード層は暗号化方式が明示的なノンスフィールドを埋めることを想定しているため、読み取られる値はレコード間で一定となります。その結果、接続内のすべてのAES-CCMレコードは同一のキーとノンスのペアで暗号化されてしまいます。CCMキーとノンスの再利用は機密保持を弱め（レコード間で同一のキーストリームとなり、既知のレコードから他のレコードを復元可能となります）、また整合性（認証タグの偽造）も損ないます。影響を受けるのはwolfEngineのみで、wolfProviderは影響を受けません。wolfEngineにおけるAES-GCMについては別途追跡されています。AES-CCM暗号スイートはデフォルトで有効化されておらず、明示的に選択する必要があるため、曝露は限定的です。TLS 1.3およびTLS以外でのこの暗号の使用は影響を受けません。