CVE-2026-65630

Nome do Software Vulnerável e Versões Afetadas jose versões 1.10.0 até 1.11.12

Descrição Um canal lateral de temporização no fallback Curve25519 em pure-Erlang permite a recuperação de uma chave privada X25519 de longo prazo. A implementação utiliza uma escada de Montgomery recursiva na função jose jwa x25519:curve25519/2, onde operações como jose jwa x25519:montgomery add/3 e jose jwa x25519:montgomery double/1 dependem de aritmética de bignum do Erlang dependente de valor. Consequentemente, o tempo de execução dos pontos de entrada públicos, incluindo jose jwa x25519:scalarmult/2, jose jwa x25519:x25519/2, jose jwa x25519:x25519 base/1 e jose jwa x25519:sk to pk/1, varia com base na chave privada. Isso é explorável quando um serviço descriptografa mensagens ECDH-ES (JWE) fornecidas por um invasor via JOSE.JWK.box decrypt ecdh es/2, que chama jose jwa curve25519:x25519 shared secret/2. Um invasor que meça o tempo de descriptografia pode recuperar a chave privada bit a bit, comprometendo a confidencialidade e a autenticidade dos dados.

Recomendações Atualize o jose para a versão 1.11.13 ou posterior. Utilize uma implementação nativa X25519 de tempo constante instalando o NIF libsodium ou libdecaf, ou utilizando uma versão do OTP onde a aplicação crypto forneça x25519. Evite forçar o fallback Curve25519 em pure-Erlang, não chamando JOSE.crypto fallback(true) ou JOSE.curve25519 module(:jose jwa curve25519) para chaves de longa duração.