PT-2026-125113
CVE-2026-65628
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
5.9
متوسطةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
jose الإصدارات من 1.5.0 إلى 1.11.12
الوصف
تُستخدم الدالة
jose jwk:shared secret/2 (المتاحة في Elixir باسم JOSE.JWK.shared secret/2) لاشتقاق سر مشترك ECDH من مفتاحي JSON Web Keys (JWKs). يوجد خلل حيث تتطابق الدالة فقط عندما يكون لكلا مفتاحي JWK نفس وحدة نوع المفتاح (kty). إذا اختلفت أنواع المفاتيح، مثل مفتاح EC ومفتاح RSA، فإن بند التراجع يعيد استدعاء الدالة بنفس الوسائط، مما يؤدي إلى حلقة تكرارية ذات ذيل غير محدودة. تستهلك هذه الحلقة 100% من وحدة معالجة المركزية لمجدول Erlang. يمكن للمهاجم الذي يقدم مفتاح JWK مصمم خصيصاً تحفيز هذا السلوك، ويمكن أن تؤدي الطلبات المتكررة إلى استنفاد جميع المجدولين المتاحين، مما يؤدي إلى حجب الخدمة.التوصيات
التحديث إلى الإصدار 1.11.13 أو أحدث.
كإجراء مؤقت، تحقق من أن
kty ومنحنى مفتاح الطرف الآخر المقدم خارجيًا يتطابقان مع مفتاحك الخاص، وارفض أي مفتاح لا يتطابق نوعه قبل استدعاء JOSE.JWK.shared secret/2. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾