PT-2026-125114
CVE-2026-65629
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
7.4
عاليةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
jose الإصدارات من 1.10.0 إلى 1.11.12
الوصف
تستخدم المكتبة تجزئة كلمة مرور بجهد حسابي غير كافٍ عند تصدير المفاتيح الخاصة المشفرة بكلمة مرور. وتحديداً، تستخدم الدالة
jose jwk:to der/2 (JOSE.JWK.to der/2) الدالة jose jwk der:to binary/3 لتسلسل المفاتيح كـ PKCS#8 EncryptedPrivateKeyInfo باستخدام مخطط PBES2. تعتمد هذه العملية على معاملات اشتقاق مفاتيح ثابتة: PBKDF2-HMAC-SHA256 مع 2048 تكراراً وملح عشوائي بطول 8 بايت، وكلاهما أقل بكثير من المعايير الصناعية. تسمح هذه الثغرة للمهاجم الذي يحصل على كتلة مشفرة مصدرة بتنفيذ هجوم قاموس دون اتصال أو هجوم القوة الغاشمة لاستعادة المفتاح الخاص.التوصيات
التحديث إلى الإصدار 1.11.13 أو أحدث.
كإجراء مؤقت، استخدم عبارة مرور طويلة وعالية الإنتروبيا عند تصدير المفاتيح الخاصة باستخدام
jose jwk:to der/2 (JOSE.JWK.to der/2).
تقييد الوصول إلى كتل EncryptedPrivateKeyInfo المصدرة والتأكد من عدم تخزينها في النسخ الاحتياطية أو المستودعات أو تخزين الكائنات أو السجلات. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾