Akshayjaing

عند تفعيل إعداد `use csr sans` ، يفشل البرنامج في فرض قيود `allowed ip sans cidr` على أسماء البدائل الموضوعية (SANs) الخاصة بعناوين IP المأخوذة من طلب توقيع الشهادة (CSR). يمكن للمستخدمين المصرح لهم والذين يمتلكون صلاحية التوقيع تقديم طلب CSR يحتوي على IP SAN خارج النطاق المسموح به إلى نقطة النهاية 'pki/sign/<role>' والحصول على شهادات موقعة من سلطة التصديق (CA) لعناوين IP غير مصرح بها.

تحتوي مكتبة LibJWT، وهي مكتبة لغة C الخاصة بـ JSON Web Token، على مشكلة في وظيفة تحليل ملفات JWK بنمط RSA-PSS. لا تقوم الإصدارات السابقة للإصدار 3.3.0 بالتحقق بشكل كافٍ من صحة قيم سلاسل JSON، وتفشل على وجه التحديد في توفير الحماية ضد القيم الفارغة (NULL). يمكن استغلال هذه الثغرة عن طريق ملف JWK مُعدّ خصيصًا يحتوي على أعداد صحيحة في الأماكن التي يُفترض أن تكون فيها سلاسل نصية. يُوصى بتجنب استيراد المفاتيح من مصادر غير موثوقة واستخدام أداة `jwk2key` للتحقق من صحة ملفات JWK. إن أمكن، تجنب استخدام ملفات JWK التي تحتوي على مفاتيح RSA-PSS.

البرنامج معرض لخطر «رفض الخدمة عبر التعبيرات النمطية» (ReDoS) عند معالجة أنماط «glob» التي تحتوي على العديد من أحرف البدل `*` المتتالية، متبوعة بحرف حرفي غير موجود في سلسلة الإدخال. يتم ترجمة كل حرف `*` إلى مجموعة تعبير منتظم منفصلة `[^/]*?`، مما يتسبب في تراجع أسي في آلية التعبيرات المنتظمة في V8 عند فشل المطابقة. تزداد تعقيد الوقت إلى O(4^N)، حيث يمثل `N` عدد أحرف `*`. قد تستغرق استدعاء واحد لوظيفة `minimatch()` حوالي ثانيتين عندما تكون N=15، وتتعطل فعليًّا عندما تكون N=34. التطبيقات التي تستخدم سلاسل نصية مقدمة من المستخدم كمعلمات نمطية لوظيفة `minimatch()` معرضة لخطر «رفض الخدمة».