PT-2024-2083
CVE-2024-28102
·
Publicado
2024-03-06
·
Atualizado
2026-09-07
Descrição por
CVSS 3.1
6.8
MédiaMétricasAV:N/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H
Nome do software vulnerável e versões afetadas
Versões do jwcrypto anteriores à 1.5.6
Descrição
O problema está relacionado a um consumo descontrolado de recursos na biblioteca jwcrypto. Um invasor pode provocar um ataque de negação de serviço (DoS) ao enviar um token JWE malicioso com uma alta taxa de compressão. Quando o servidor processa esse token, ele consome uma grande quantidade de memória e tempo de processamento.
Recomendações
Para versões anteriores à 1.5.6, a fim de mitigar essa vulnerabilidade, recomenda-se limitar o comprimento máximo do token a 250K.
Como solução temporária, considere restringir o processamento de tokens com altas taxas de compressão até que um patch esteja disponível.
Atualize para a versão 1.5.6 ou posterior para corrigir a vulnerabilidade.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾