CVE-2025-54887
Təsvir
jwe, RFC 7516 JSON Web Encryption (JWE) standartının Ruby tətbiqidir. 1.1.0 və daha aşağı versiyalarda şifrələnmiş JWE-lərin autentifikasiya teqləri brute force hücumuna məruz qala bilər ki, bu da həmin JWE-lərin konfidensiallığının itirilməsinə səbəb ola və ixtiyari JWE-lərin yaradılmasına imkan verə bilər. Bu, istifadəçiləri risk altına salır, çünki JWE-lər ixtiyari dəyərə şifrəsizdirmək üçün dəyişdirilə bilər, analiz fərqlilikləri müşahidə edilərək şifrəsizdirilə bilər və GCM daxili GHASH açarı bərpa edilə bilər. İstifadəçilər, JWE-ləri üçün AES-GCM şifrələmə alqoritmindən istifadə etməsələr belə, bu zəiflikdən təsirlənirlər. GHASH açarı sızdırıla bildiyi üçün istifadəçilər yeniləmədən sonra şifrələmə açarlarını dəyişməlidirlər. Bu problem 1.1.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jwt ruby-jwe | < 1.1.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.