CVE-2026-65625
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Rezerwa awaryjna czystego Erlang AES-GCM w jose_jwa_aes wyprowadza liczbę zweryfikowanych bitów znacznika uwierzytelniającego z samego znacznika dostarczonego przez osobę atakującą. W klauzuli {aes_gcm, Bits} bloku_decrypt/4 przychodzący znacznik jest chroniony tylko przez is_binary/1, bez sprawdzania jego długości. Weryfikacja w gcm_block_decrypt/6 następnie oblicza TBits = bit_size(T) i porównuje tylko te bity rzeczywistego znacznika 128-bitowego. Osoba atakująca kontrolująca token JWE może skrócić znacznik uwierzytelniający do zaledwie 8 bitów, zatem sprawdzane jest tylko 8 bitów. Zmniejsza to odporność na fałszerstwo z 2^-128 do 2^-8, a sfałszowany tekst zaszyfrowany jest niezawodnie akceptowany jako autentyczny w ciągu 256 prób bez znajomości klucza (fałszowanie znacznika uwierzytelniającego i obejście integralności). Zamiast tego podanie znacznika dłuższego niż 128 bitów powoduje nieprawidłowe dopasowanie, które powoduje awarię procesu deszyfrowania. Rozwiązanie awaryjne jest osiągane poprzez publiczną ścieżkę deszyfrowania JWE, gdy AES-GCM nie jest zapewniany przez natywny kryptonim NIF, na przykład w FIPS lub pozbawionych lub starszych kompilacjach OTP.
Ten problem dotyczy Jose: od 1.2.0 do 1.11.13.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-65625.html
- https://github.com/potatosalad/erlang-jose/commit/3fa1f8e3efda0da5ce6f4c9984789f979dc02740
- https://github.com/potatosalad/erlang-jose/commit/8848b172575fb7d7e1e2977e8ae0a21678d2157a
- https://github.com/potatosalad/erlang-jose/security/advisories/GHSA-6gxw-6f7r-cjr6
- https://osv.dev/vulnerability/EEF-CVE-2026-65625
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org