PT-2026-110903
CVE-2026-109425
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Tink-go الإصدارات السابقة لـ 2.8.1
Description
توجد مشكلة في التحقق من صحة المدخلات حيث تتخطى الدالتان
NewHandleWithNoSecrets() و ReadWithNoSecrets() خطوة التحقق الهيكلي Validate() قبل إنشاء keyset.Handle. يسمح هذا بقبول مجموعات مفاتيح (keysets) عامة أو خالية من الأسرار تكون مشوهة وتنتهك الثوابت الداخلية لـ Tink. يمكن للمهاجم تقديم مجموعة مفاتيح مشوهة، مثل تلك التي تحتوي على مفتاح عام مفعل يفتقر إلى مفتاح أساسي صالح أو مفتاح مدمر (DESTROYED) بدون KeyData. يؤدي ذلك إلى عدم اتساق في التحقق اللاحق، حيث قد تقوم دوال مثل JWKSetFromPublicKeysetHandle() بمعالجة المقبض (handle) غير الصالح وإنتاج مجموعة JWK، مما قد يضلل التطبيقات التي تعتمد على نجاح إنشاء المقبض كدليل على سلامة مجموعة المفاتيح.Recommendations
التحديث إلى إصدار أحدث من 2.8.0.
كإجراء تخفيف مؤقت، قم بتقييد استخدام الدالتين
NewHandleWithNoSecrets() و ReadWithNoSecrets() حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾