CVE-2024-28122

Versões do jwx anteriores à 1.2.29

Versões do jwx anteriores à 2.0.21

Esta vulnerabilidade permite que um invasor com uma chave pública confiável provoque uma condição de Negação de Serviço (DoS) ao criar um token malicioso de JSON Web Encryption (JWE) com uma taxa de compressão excepcionalmente alta. Quando esse token é processado pelo destinatário, resulta em alocação significativa de memória e tempo de processamento durante a descompressão. O invasor precisa obter uma chave pública válida para comprimir a carga útil, que deve ser válida para que o destinatário possa usá-la para descomprimir a carga útil com sucesso. O invasor então cria uma mensagem com uma alta taxa de compressão, como uma carga útil com uma frequência muito alta de padrões repetitivos que podem ser descompactados para um tamanho muito maior. Se a carga útil for grande o suficiente, o destinatário que estiver descompactando os dados terá que alocar uma grande quantidade de memória, o que pode levar a uma negação de serviço.

Para versões anteriores à 1.2.29, atualize para a versão 1.2.29 ou posterior.

Para versões anteriores à 2.0.21, atualize para a versão 2.0.21 ou posterior.

Como solução alternativa temporária, considere limitar o tamanho máximo dos dados descompactados ao descriptografar mensagens JWE para evitar alocação excessiva de memória.