CVE-2026-65627

Nome do Software Vulnerável e Versões Afetadas potatosalad jose versões 1.0.0 até 1.11.12

Description Um tratamento inadequado de dados altamente compactados, conhecido como amplificação de dados, permite que um invasor remoto esgote a memória de um nó usando um token JWE pequeno e manipulado. A função jose jwe zip:uncompress/2 em src/jwe/jose jwe zip.erl descompacta o texto simples compactado via DEFLATE de um JWE que contém o cabeçalho zip: DEF, chamando zlib:inflate/2 no fluxo controlado pelo invasor, sem limites para o tamanho da saída ou a taxa de inflação. Isso pode fazer com que um token de alguns kilobytes se transforme em centenas de megabytes ou gigabytes. A descompactação ocorre automaticamente durante a descriptografia via jose jwe:block decrypt/2 (ou JOSE.JWE.block decrypt/2 em Elixir) antes que a carga útil seja inspecionada. Usando algoritmos de gerenciamento de chaves assimétricas como RSA-OAEP ou ECDH-ES, um invasor precisa apenas da chave pública do destinatário para criar o token, sem necessidade de autenticação. Isso pode travar o BEAM e causar a negação de serviço.

Recommendations Atualize o potatosalad jose para a versão 1.11.13 ou posterior. Como medida paliativa temporária, rejeite tokens JWE que possuam um cabeçalho zip antes de passá-los para a função jose jwe:block decrypt/2.