CVE-2026-65628

Nome do Software Vulnerável e Versões Afetadas jose versões 1.5.0 até 1.11.12

Descrição A função jose jwk:shared secret/2 (exposta em Elixir como JOSE.JWK.shared secret/2) é utilizada para derivar um segredo compartilhado ECDH a partir de duas JSON Web Keys (JWKs). Existe uma falha onde a função apenas corresponde quando ambas as JWKs possuem o mesmo módulo de tipo de chave (kty). Se os tipos de chave diferirem, como uma chave EC e uma chave RSA, a cláusula de fallback reinvoca a função com argumentos idênticos, criando um loop recursivo de cauda ilimitado. Este loop consome 100% da CPU de um escalonador Erlang. Um invasor que forneça uma JWK especialmente manipulada pode desencadear esse comportamento, e solicitações repetidas podem esgotar todos os escalonadores disponíveis, resultando em uma negação de serviço.

Recomendações Atualize para a versão 1.11.13 ou posterior. Como solução temporária, verifique se o kty e a curva da chave do peer fornecida externamente correspondem à sua própria chave e rejeite qualquer chave com tipo incompatível antes de chamar JOSE.JWK.shared secret/2.