CVE-2026-65625

Nome do Software Vulnerável e Versões Afetadas jose versões 1.2.0 até 1.11.12

Description O fallback AES-GCM em pure-Erlang no jose jwa aes deriva o número de bits da tag de autenticação verificados a partir da própria tag fornecida pelo atacante. Na cláusula {aes gcm, Bits} da função block decrypt/4, a tag de entrada é protegida apenas por is binary/1, sem verificação de comprimento. A verificação na função gcm block decrypt/6 então calcula TBits = bit size(T) e compara apenas esses bits com a tag real de 128 bits. Um atacante que controle um token JWE pode truncar a tag de autenticação para apenas 8 bits, reduzindo a resistência a falsificações de 2^-128 para 2^-8. Isso permite que um texto cifrado forjado seja aceito como autêntico em até 256 tentativas sem o conhecimento da chave, resultando em uma falsificação de tag de autenticação e bypass de integridade. Além disso, fornecer uma tag com mais de 128 bits causa um badmatch que interrompe o processo de descriptografia. Este problema ocorre quando o AES-GCM não é fornecido por um NIF (Native Implemented Function) de criptografia nativa, como em builds FIPS, stripped ou versões antigas do OTP.

Recommendations Atualize o jose para a versão 1.11.13 ou posterior. Garanta que o ambiente de execução forneça um provedor de criptografia com suporte nativo a AES-GCM, como um build padrão do Erlang/OTP vinculado ao OpenSSL, para que o AES-GCM seja enviado ao NIF crypto nativo em vez do fallback jose jwa aes.