PT-2026-125116
CVE-2026-65631
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
erlang-jose الإصدارات من 1.7.7 إلى 1.11.12
الوصف
تسمح التعقيدات الخوارزمية غير الفعالة لمهاجم عن بعد غير مصرح له بالتسبب في حالة رفض الخدمة نتيجة استنفاد وحدة المعالجة المركزية (CPU) عن طريق إرسال مفتاح ويب JSON (JWK) من نوع RSA تم التلاعب به. عندما يقوم التطبيق بتحليل JWK غير موثوق من خلال واجهة برمجة التطبيقات
jose jwk:from binary/1 أو jose jwk:from map/1 (أو أغلفة Elixir وهي JOSE.JWK.from binary/1 و JOSE.JWK.from map/1)، يتم توجيه مفتاح RSA الخاص الذي يوفر d و e و n ولكن يغفل معلمات نظرية الباقي الصينية (p و q و dp و dq و qi) إلى convert sfm to crt/1. تحاول هذه الدالة استعادة الأعداد الأولية المفقودة عن طريق تحليل المقياس (modulus)، والذي يتم قراءته مباشرة من مدخلات base64url دون التحقق من صحته. عندما لا يمكن تقسيم المقياس إلى عاملين، تقوم حلقة البحث convert sfm to crt find p/6 بإجراء رفع أسّي نمطي بشكل مستمر، مما يستهلك موارد وحدة المعالجة المركزية بشكل كبير. يمكن أن يؤدي إغراق النظام بهذه الطلبات إلى إشغال جميع المجدولين وتعطيل الخدمة.التوصيات
تحديث erlang-jose إلى الإصدار 1.11.13 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾