CVE-2026-109425

اسم البرنامج المصاب والإصدارات المتأثرة Tink-go الإصدارات السابقة لـ 2.8.1

Description توجد مشكلة في التحقق من صحة المدخلات حيث تتخطى الدالتان NewHandleWithNoSecrets() و ReadWithNoSecrets() خطوة التحقق الهيكلي Validate() قبل إنشاء keyset.Handle. يسمح هذا بقبول مجموعات مفاتيح (keysets) عامة أو خالية من الأسرار تكون مشوهة وتنتهك الثوابت الداخلية لـ Tink. يمكن للمهاجم تقديم مجموعة مفاتيح مشوهة، مثل تلك التي تحتوي على مفتاح عام مفعل يفتقر إلى مفتاح أساسي صالح أو مفتاح مدمر (DESTROYED) بدون KeyData. يؤدي ذلك إلى عدم اتساق في التحقق اللاحق، حيث قد تقوم دوال مثل JWKSetFromPublicKeysetHandle() بمعالجة المقبض (handle) غير الصالح وإنتاج مجموعة JWK، مما قد يضلل التطبيقات التي تعتمد على نجاح إنشاء المقبض كدليل على سلامة مجموعة المفاتيح.

Recommendations التحديث إلى إصدار أحدث من 2.8.0. كإجراء تخفيف مؤقت، قم بتقييد استخدام الدالتين NewHandleWithNoSecrets() و ReadWithNoSecrets() حتى يتم تطبيق التحديث.