CVE-2023-49290
Açıklama
lestrrat-go/jwx, çeşitli JWx (JWA/JWE/JWK/JWS/JWT veya diğer adıyla JOSE) teknolojilerini uygulayan bir Go modülüdür. JWE'nin PBES2-* algoritmalarında çok yüksek ayarlanan bir p2c parametresi hizmet reddine yol açabilir. PBKDF2 tabanlı JWE anahtar yönetimi algoritmaları, p2c (PBES2 Count) adlı bir JOSE Header Parametresi gerektirir. Bu parametre, bir CEK sarmalama anahtarı türetmek için gereken PBKDF2 yineleme sayısını belirler. Temel amacı, anahtar türetme fonksiyonunu kasıtlı olarak yavaşlatarak parola kaba kuvvet ve sözlük saldırılarını daha kaynak yoğun hale getirmektir. Bu nedenle, bir saldırgan JWE'deki p2c parametresini çok büyük bir sayıya ayarlarsa, bu durum yüksek hesaplama tüketimine neden olarak hizmet reddi ile sonuçlanabilir. Bu güvenlik açığı, sürüm 1.2.27 ve 2.0.18'e dahil edilen `64f2a229b` commit'i ile giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- lestrrat-go jwx1.2.27, 2.0.18 ya da sonraki bir sürüm
- github.com/lestrrat-go/jwx1.2.27 ya da sonraki bir sürüm
- github.com/lestrrat-go/jwx/v22.0.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lestrrat-go jwx | v < 1.2.27, 2.0.0 ≤ v < 2.0.18 | 1.2.27, 2.0.18 |
| github.com/lestrrat-go/jwxGo | v < 1.2.27 | 1.2.27 |
| github.com/lestrrat-go/jwx/v2Go | v < 2.0.18 | 2.0.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.