CVE-2023-25653
Açıklama
node-jose, web tarayıcıları ve node.js tabanlı sunucular için JSON Object Signing and Encryption (JOSE) standartlarının bir JavaScript uygulamasıdır. Versiyon 2.2.0 öncesinde, varsayılan olmayan "fallback" crypto arka ucu kullanıldığında, dahili bir hesaplamadaki olası sonsuz döngü nedeniyle `node-jose` içindeki ECC işlemleri bir Hizmet Reddi (DoS) durumunu tetikleyebilir. Bazı ECC işlemleri için bu durum rastgele tetiklenirken, diğerleri için kötü niyetli girdilerle tetiklenebilir. Sorun versiyon 2.2.0 ile düzeltilmiştir. Bu sorun yalnızca "fallback" crypto uygulamasında mevcut olduğundan, `node-jose` çalıştırılan JS ortamında WebCrypto veya Node `crypto` modülünün mevcut olduğundan emin olunarak önlenebilir.
Nasıl düzeltilir
- cisco node-jose2.2.0 ya da sonraki bir sürüm
- node-jose2.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cisco node-jose | v < 2.2.0 | 2.2.0 |
| node-josenpm | v < 2.2.0 | 2.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.