CVE-2026-65631

Nome do Software Vulnerável e Versões Afetadas erlang-jose versões 1.7.7 até 1.11.12

Descrição A complexidade algorítmica ineficiente permite que um invasor remoto não autenticado cause uma negação de serviço por exaustão de CPU ao enviar uma Chave Web JSON (JWK) RSA manipulada. Quando uma aplicação analisa uma JWK não confiável através da API jose jwk:from binary/1 ou jose jwk:from map/1 (ou os wrappers Elixir JOSE.JWK.from binary/1 e JOSE.JWK.from map/1), uma chave privada RSA que fornece d, e e n, mas omite os parâmetros do Teorema do Resto Chinês (p, q, dp, dq, qi), é processada por convert sfm to crt/1. Esta função tenta recuperar os primos ausentes fatorando o módulo, que é lido da entrada base64url sem validação. Se o módulo não puder ser dividido em dois fatores, o loop de busca convert sfm to crt find p/6 realiza exponenciação modular contínua, consumindo recursos significativos de CPU. O envio massivo de tais solicitações pode saturar todos os escalonadores e negar o serviço.

Recomendações Atualize o erlang-jose para a versão 1.11.13 ou posterior.