CVE-2023-49290
Təsvir
lestrrat-go/jwx müxtəlif JWx (JWA/JWE/JWK/JWS/JWT və ya JOSE kimi tanınan) texnologiyalarını tətbiq edən bir Go moduludur. JWE-nin PBES2-* alqoritmində həddindən artıq yüksək təyin edilmiş p2c parametri xidmətdən imtinaya (DoS) səbəb ola bilər. PBKDF2 əsaslı JWE açar idarəetmə alqoritmləri p2c (PBES2 Count) adlı JOSE Header Parametrini tələb edir. Bu parametr, CEK bükmə açarını törətmək üçün lazım olan PBKDF2 iterasiyalarının sayını müəyyən edir. Onun əsas məqsədi açarın törədilməsi funksiyasını qəsdən yavaşlatmaqdır ki, bu da şifrələrin kobud güclə (brute-force) və lüğət hücumlarını daha resurs tutan etsin. Buna görə də, hücumçu JWE-də p2c parametrini çox böyük rəqəm təyin edərsə, bu, yüksək hesablama istehlakına səbəb olaraq xidmətdən imtinaya gətirib çıxara bilər. Bu zəiflik 1.2.27 və 2.0.18 versiyalarına daxil edilmiş `64f2a229b` commit-i ilə aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolu yoxdur.
Necə düzəltmək olar
- lestrrat-go jwx1.2.27, 2.0.18 və ya daha yeni versiya
- github.com/lestrrat-go/jwx1.2.27 və ya daha yeni versiya
- github.com/lestrrat-go/jwx/v22.0.18 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lestrrat-go jwx | v < 1.2.27, 2.0.0 ≤ v < 2.0.18 | 1.2.27, 2.0.18 |
| github.com/lestrrat-go/jwxGo | v < 1.2.27 | 1.2.27 |
| github.com/lestrrat-go/jwx/v2Go | v < 2.0.18 | 2.0.18 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.