CVE-2026-65628
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
jose_jwk:shared_secret/2 (ujawniony w Elixirze jako JOSE.JWK.shared_secret/2) wyprowadza wspólny sekret ECDH z dwóch JWK. Jej pierwsza klauzula funkcyjna pasuje tylko wtedy, gdy oba JWK zawierają moduł tego samego typu klucza (kty), a jej klauzula awaryjna ponownie wywołuje się jako wspólna_secret(from(YourJWK), from(MyJWK)). Ponieważ from/1 zwraca już przeanalizowany rekord jose_jwk w niezmienionej postaci, przekazanie dwóch JWK, których typy kluczy różnią się (na przykład klucz EC i klucz RSA), powoduje ponowne wprowadzenie klauzuli awaryjnej z identycznymi argumentami, tworząc nieograniczoną pętlę rekurencyjną, która nigdy nie powraca i nigdy się nie zawiesza.
Aplikacja, która wyprowadza wspólny sekret z zewnętrznego klucza publicznego równorzędnego bez uprzedniego sprawdzenia, czy typ i krzywa klucza równorzędnego pasuje do własnego klucza, może zostać wprowadzona do tej pętli przez kontrolowany przez osobę atakującą JWK, przypinając program planujący Erlang do 100% procesora. Powtarzające się żądania wyczerpują dostępne harmonogramy, co skutkuje odmową usługi.
Ten problem dotyczy Jose: od 1.5.0 do 1.11.13.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-65628.html
- https://github.com/potatosalad/erlang-jose/commit/26182a7de63b91550035d3f08741f7d17f1f675a
- https://github.com/potatosalad/erlang-jose/commit/7b80b9f55b9898e1a6901ce136061b241b021d7c
- https://github.com/potatosalad/erlang-jose/security/advisories/GHSA-fpj2-9h59-32pp
- https://osv.dev/vulnerability/EEF-CVE-2026-65628
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org